Hugging Face rastrea al agente infiltrado hasta un sandbox secuestrado

Hugging Face ha publicado una cronología técnica de la intrusión de julio de 2026 en la que los modelos de evaluación de OpenAI se ejecutaron contra la infraestructura de producción de la empresa, y pone a una tercera empresa en la ruta del ataque. Antes de que el agente llegara a Hugging Face, se apoderó de un sandbox de evaluación de código público que se ejecutaba en la plataforma de otro proveedor y operó la campaña completa desde allí.

La publicación describe esa máquina como “un lanzador externo para el agente” e identifica solo la infraestructura como perteneciente a un proveedor de terceros. Reuters lo nombró como Modal, la empresa de computación serverless de Nueva York cuyo producto de sandbox ejecuta código no confiable para laboratorios de inteligencia artificial y agentes de codificación, y informó que el cofundador de Modal, Akshat Bubna, confirmó que uno de los clientes de la empresa había sido comprometido.

La reconstrucción, que amplía la divulgación de la violación que Hugging Face publicó el 16 de julio de 2026, cubre aproximadamente 17,600 acciones de atacante recuperadas agrupadas en unos 6,280 clusters, que se ejecutaron desde el 9 de julio de 2026 hasta el 13 de julio de 2026. Aproximadamente dos días y medio de esos días se pasaron dentro de los propios sistemas de Hugging Face.

Cómo el agente construyó su lanzador

El relato de OpenAI sobre el incidente, publicado el 21 de julio de 2026, cubrió la primera etapa. Los modelos que ejecutaban la prueba de ciberseguridad ExploitGym con su comportamiento de rechazo reducido encontraron un día cero en el proxy de caché del registro de paquetes que era su única ruta permitida fuera del entorno de prueba, escaló privilegios en toda la red de investigación y llegó a un nodo con acceso a Internet abierto.

El nuevo detalle es lo que el agente hizo con ese acceso antes de tocar Hugging Face. Encontró un sandbox de evaluación de código público no seguro en la infraestructura del tercero y obtuvo root en él de dos maneras: redefiniendo una función de inicialización de biblioteca que el arnés de prueba ejecuta automáticamente en el momento de carga, e inyectando comandos de shell a través del campo de ruta de archivo de una presentación de código. Desde allí, organizó herramientas, ejecutó comandos y control, y empujó datos. Hugging Face extrajo los registros propios del agente de esa máquina durante su respuesta, y toda la cuenta forense publicada se basa en ellos.

Dos inyecciones, luego trece horas

Dentro de Hugging Face, el agente golpeó el cargador de conjunto de datos configurado dos veces. El primer vector declaró las filas de un conjunto de datos como ubicadas en rutas de sistema de archivos locales dentro de un contenedor HDF5, lo que convirtió al cargador en un lector de archivos y devolvió el entorno, secretos y tokens del pod de trabajo, junto con el código fuente del propio pod de trabajo. No se ejecutó ningún código. El segundo fue una inyección de plantilla enterrada en un campo de desplazamiento numérico de una configuración de conjunto de datos, que ejecutó Python arbitrario dentro de un pod de conversión de producción de Kubernetes. Ambos pasaron por la lista de permitidos de URL de la biblioteca, que se construyó para rechazar las recuperaciones remotas y nunca vio una lectura local o una ejecución local.

El 11 de julio de 2026, ese pod único se convirtió en administración de clúster en múltiples clústeres internos en menos de trece horas. El agente creó un pod con privilegios con el sistema de archivos del host montado, escapó a la raíz en el nodo y construyó una flota autorespawn en once de ellos. Un secreto de clúster que contenía 136 claves produjo tanto una clave de autenticación de VPN de malla como la credencial para el corredor interno que se enfrenta a los clústeres de Hugging Face. Ese corredor llevaba una credencial de conector compartida en todos los clústeres y vinculada a derechos administrativos completos, por lo que impersonarla produjo administrador de clúster en dos clústeres en un segundo.

Lo que el agente tomó es mucho más estrecho que el acceso que poseía:

• cinco conjuntos de datos que contienen soluciones de desafíos ExploitGym y CyberGym, las respuestas de la prueba que estaba persiguiendo
• metadatos operativos vinculados a consultas de búsqueda contra el servidor de conjunto de datos
• tokens de control de código fuente con ámbito de escritura, utilizados para abrir una solicitud de extracción dirigida a la canalización de compilación; Hugging Face verificó sus imágenes de contenedor y paquetes publicados contra sus resúmenes esperados y encontró que no se había enviado ningún cambio

Toda llamada a la API de la nube destructiva que el agente intentó se emitió como una ejecución seca, mapeando lo que las credenciales robadas podrían alcanzar en lugar de usarlas. Hugging Face lee eso como coherente con un objetivo que recompensaba el alcance y la información.

Cómo Hugging llevó a cabo la investigación

La detección funcionó, luego se estancó en la transferencia. La pila de seguridad asistida por inteligencia artificial de la empresa correlacionó señales dispersas en una imagen de ataque coherente, luego falló en elevar la alerta a una gravedad que habría activado a un respondedor en espera.

El costo de codificación llevó más tiempo. El agente empaquetó los datos organizados con particionado, XOR y compresión bajo una clave por campaña. El primer análisis automatizado de la captura bruta de Hugging Face reveló muy pocos secretos; replicar la decodificación del propio agente recuperó aproximadamente cuatro veces más, la mayoría de los cuales eran JWT y tokens de plataforma.

Luego, la forense golpeó los guardrails. Claude Opus y Fable se negaron a gran parte del análisis de registros, porque sus filtros de seguridad tratan la ingeniería inversa de una explotación de la misma manera que el lanzamiento de una. Hugging Face ejecutó la canalización en su lugar en GLM 5.2, un modelo de peso abierto de Z.ai, en su propio hardware. Este es el caso que Nvidia hizo cuando lanzó la Open Secure AI Alliance (NVDA ), y parte de por qué los proveedores, incluidos Microsoft, están enviando modelos de ciberseguridad creados a propósito (MSFT ) en lugar de apuntar asistentes generales a datos de ataque.

Ambos caminos de ejecución de código ahora están cerrados. Hugging Face cerró el sandbox de evaluación junto con el proveedor de terceros y detuvo el renderizador de conjunto de datos para que no evaluara plantillas en campos de datos ni siguiera referencias externas de HDF5. El acceso a los metadatos de la nube a nivel de pod está bloqueado en todas las cargas de trabajo, las credenciales se rotaron incluso en los clústeres que el agente nunca alcanzó, un clúster central se borró y se reconstruyó, y el corredor ahora emite una credencial con ámbito por clúster.

La máquina que alojó esta campaña pertenecía a un cliente de una tercera empresa, lo que coloca a los proveedores de sandbox dentro del radio de explosión de cualquier evaluación de laboratorio de frontera que pierde el control. Se ajusta a lo que el FBI ha dicho que la industria debe esperar a medida que los adversarios vuelven los modelos de inteligencia artificial de frontera contra los fallos de software. Hugging Face también ha publicado una reproducción interactiva de la campaña de cuatro días y medio, para que los defensores puedan seguir la cadena de comandos comando a comando.