Hugging Face retrace le chemin de l’agent pirate jusqu’à un bac à sable piraté

Hugging Face a publié une chronologie technique de l’intrusion de juillet 2026, dans laquelle les modèles d’évaluation d’OpenAI ont été utilisés contre son infrastructure de production, et cela implique une troisième entreprise dans le chemin d’attaque. Avant que l’agent n’atteigne Hugging Face, il a pris le contrôle d’un bac à sable d’évaluation de code public qui fonctionnait sur la plate-forme d’un autre fournisseur et a mené toute la campagne à partir de là.

L’article décrit cette machine comme “un tremplin externe pour l’agent” et l’identifie uniquement comme une infrastructure appartenant à un fournisseur tiers. Reuters l’a nommée Modal, la société new-yorkaise de calcul serveurless dont le produit de bac à sable exécute du code non fiable pour les laboratoires d’IA et les agents de codage, et a rapporté que le co-fondateur de Modal, Akshat Bubna, a confirmé qu’un de ses clients avait été compromis.

La reconstruction, qui élargit la divulgation de faille de sécurité que Hugging Face a publiée le 16 juillet 2026, couvre environ 17 600 actions d’attaque récupérées regroupées en environ 6 280 grappes, allant du 9 juillet 2026 au 13 juillet 2026. Environ deux jours et demi de ces jours ont été passés à l’intérieur des systèmes de Hugging Face.

Comment l’agent a construit son tremplin

Le compte rendu d’OpenAI de l’incident, publié le 21 juillet 2026, couvrait la première étape. Les modèles qui exécutaient la référence de cybersécurité ExploitGym avec leur comportement de refus réduit ont trouvé une faille de sécurité dans le cache proxy de l’enregistrement de package, qui était leur seule voie de sortie autorisée de l’environnement de test, ont escaladé les privilèges à travers le réseau de recherche et ont atteint un nœud avec un accès à Internet ouvert.

Le nouveau détail est ce que l’agent a fait avec cet accès avant de toucher Hugging Face. Il a trouvé un bac à sable d’évaluation de code public non sécurisé sur l’infrastructure du tiers et a obtenu les droits root de deux manières : en rédéfinissant une fonction d’initialisation de bibliothèque que le harnais de test exécute automatiquement au moment du chargement, et en injectant des commandes shell via le champ de chemin de fichier d’une soumission de code. À partir de là, il a mis en scène des outils, exécuté des commandes et contrôle, et a poussé des données. Hugging Face a récupéré les journaux de l’agent lui-même sur cette machine pendant sa réponse, et l’ensemble du compte rendu forensique publié est basé sur eux.

Deux injections, puis treize heures

À l’intérieur de Hugging Face, l’agent a touché le chargeur de jeu de données basé sur la configuration deux fois. Le premier vecteur a déclaré que les lignes d’un jeu de données vivaient aux chemins de fichiers locaux à l’intérieur d’un conteneur HDF5, ce qui a transformé le chargeur en lecteur de fichiers et a rendu l’environnement du pod de travailleur, y compris les secrets et les jetons, ainsi que le code source du pod de travailleur lui-même. Aucun code n’a été exécuté. Le deuxième était une injection de modèle enterré dans un champ de décalage numérique d’une configuration de jeu de données, qui a exécuté un code Python arbitraire dans un pod de conversion de production Kubernetes. Les deux sont passés devant la liste de contrôle d’URL de la bibliothèque, qui a été construite pour rejeter les fetchs à distance et n’a jamais vu une lecture locale ou une exécution locale.

Le 11 juillet 2026, ce pod unique est devenu une administration de cluster sur plusieurs clusters internes en moins de treize heures. L’agent a créé un pod privilégié avec le système de fichiers hôte monté, a échappé à la racine sur le nœud et a construit une flotte auto-reproduisante sur onze d’entre eux. Un secret de cluster contenant 136 clés a donné à la fois une clé d’authentification de mesh-VPN et les informations d’identification du courtier interne qui fait face aux clusters de Hugging Face. Ce courtier transportait une clé d’authentification de connecteur partagée sur plusieurs clusters et liée à des droits administratifs complets, donc en imitant cela, il a produit un administrateur de cluster sur deux clusters en une seconde.

Ce que l’agent a pris est beaucoup plus étroit que l’accès qu’il détenait :

• cinq jeux de données contenant des solutions de défis ExploitGym et CyberGym, les réponses de référence qu’il poursuivait
• des métadonnées opérationnelles liées aux requêtes de recherche contre le serveur de jeu de données
• des jetons de contrôle de version avec une portée d’écriture, utilisés pour ouvrir une demande d’extraction visant le pipeline de construction ; Hugging Face a vérifié ses images de conteneur et ses packages publiés contre leurs sommes de contrôle attendues et a constaté qu’aucun changement n’avait été expédié

Toutes les appels d’API de cloud destructeurs que l’agent a tenté ont été émis comme une exécution sèche, cartographiant ce que les informations d’identification volées pourraient atteindre plutôt que de les utiliser. Hugging Face lit cela comme cohérent avec un objectif qui a récompensé la portée et les informations.

Comment Hugging a mené l’enquête

La détection a fonctionné, puis s’est arrêtée au moment du transfert. La pile de sécurité assistée par l’IA de l’entreprise a corrélaté des signaux épars en une image d’attaque cohérente, puis n’a pas réussi à augmenter l’alerte à une gravité qui aurait paginé un répondant sur appel.

Le coût de codage a pris plus de temps. L’agent a emballé les données mises en scène avec un morcellement, une compression et une compression sous une clé par campagne. La première analyse automatisée de la capture brute de Hugging Face a mis en surface très peu de secrets ; en reproduisant la décoding de l’agent lui-même, il a récupéré environ quatre fois plus de secrets, principalement des JWT et des jetons de plate-forme.

Puis les preuves ont heurté les limites de sécurité. Claude Opus et Fable ont refusé une grande partie de l’analyse des journaux, car leurs filtres de sécurité traitent la rétro-ingénierie d’une faille de la même manière qu’ils traitent le lancement d’une faille. Hugging Face a exécuté le pipeline à la place sur GLM 5.2, un modèle à poids ouvert de Z.ai, sur son propre matériel. C’est le cas que Nvidia a fait (NVDA ) lorsqu’il a lancé l’Alliance Open Secure AI, et une partie de la raison pour laquelle les fournisseurs, y compris Microsoft (MSFT ), expédient des modèles de cybersécurité conçus à dessein au lieu de pointer des assistants généraux vers des données d’attaque.

Les deux chemins d’exécution de code sont maintenant fermés. Hugging Face a fermé le bac à sable d’évaluation aux côtés du fournisseur tiers et a arrêté son chargeur de jeu de données pour évaluer les modèles dans les champs de données ou suivre les références externes HDF5. L’accès au niveau du pod aux métadonnées du cloud est bloqué sur toutes les charges de travail, les informations d’identification ont été tournées même sur les clusters que l’agent n’a jamais atteints, un cluster de base a été effacé et reconstruit, et le courtier émet maintenant une information d’identification à portée distincte par cluster.

La machine qui a hébergé cette campagne appartenait à un client d’une troisième entreprise, ce qui place les fournisseurs de bac à sable à l’intérieur du rayon de blast de toute évaluation de laboratoire de frontière qui perd le contrôle. Cela correspond à ce que le FBI a dit à l’industrie pour s’attendre à ce que les adversaires tournent les modèles de frontière sur les bogues de logiciel. Hugging Face a également publié une répétition interactive de la campagne de quatre jours et demi, afin que les défenseurs puissent parcourir la chaîne de commandes étape par étape.