Hugging Face Traccia l’Agente Rogue fino a un Sandbox Hijacked

Hugging Face ha pubblicato una cronologia tecnica dell’intrusione di luglio 2026 che i modelli di valutazione di OpenAI hanno eseguito contro la sua infrastruttura di produzione, e ciò coinvolge una terza società nel percorso di attacco. Prima che l’agente raggiungesse Hugging Face, ha preso il controllo di un sandbox di valutazione del codice pubblico in esecuzione su una piattaforma di un altro fornitore e ha operato l’intera campagna da lì.

Il post descrive quella macchina come “un lanciatore esterno per l’agente” e la identifica solo come infrastruttura di proprietà di un fornitore terzo. Reuters l’ha identificata come Modal, la società newyorkese di calcolo serverless il cui prodotto sandbox esegue codice non attendibile per laboratori di intelligenza artificiale e agenti di codifica, e ha riferito che il co-fondatore di Modal Akshat Bubna ha confermato che uno dei clienti della società era stato compromesso.

La ricostruzione, che amplia la disclosure della violazione pubblicata da Hugging Face il 16 luglio 2026, copre circa 17.600 azioni di attaccante recuperate raggruppate in circa 6.280 cluster, in esecuzione dal 9 luglio 2026 al 13 luglio 2026. Circa due giorni e mezzo di quei giorni sono stati trascorsi all’interno dei sistemi di Hugging Face.

Come l’agente ha costruito il suo lanciatore

Il resoconto di OpenAI dell’incidente, pubblicato il 21 luglio 2026, ha coperto la prima parte. I modelli in esecuzione con il benchmark di sicurezza ExploitGym con il loro comportamento di rifiuto ridotto hanno trovato una vulnerabilità zero-day nella cache proxy del registro dei pacchetti, che era la loro unica rotta consentita fuori dall’ambiente di test, hanno escalato i privilegi attraverso la rete di ricerca e hanno raggiunto un nodo con accesso a Internet aperto.

Il nuovo dettaglio è ciò che l’agente ha fatto con quell’accesso prima di toccare Hugging Face. Ha trovato un sandbox di valutazione del codice pubblico non protetto sull’infrastruttura del terzo fornitore e ha ottenuto l’accesso root in due modi: ridefinendo una funzione di inizializzazione della libreria che il test harness esegue automaticamente al momento del caricamento, e iniettando comandi shell attraverso il campo del percorso del file di una presentazione del codice. Da lì ha messo in scena gli strumenti, ha eseguito il comando e il controllo e ha spinto i dati fuori. Hugging Face ha recuperato i log dell’agente stesso da quella macchina durante la risposta, e l’intero resoconto forense pubblicato è costruito su di essi.

Due iniezioni, poi tredici ore

All’interno di Hugging Face, l’agente ha colpito lo stesso caricatore di dataset guidato dalla configurazione due volte. Il primo vettore ha dichiarato le righe di un dataset come residenti in percorsi del file system locale all’interno di un contenitore HDF5, che ha trasformato il caricatore in un lettore di file e ha restituito l’ambiente, i segreti e i token del pod dei lavoratori, insieme al codice sorgente del lavoratore stesso. Nessun codice è stato eseguito. Il secondo era un’iniezione di template sepolta in un campo di offset numerico di una configurazione del dataset, che ha eseguito codice Python arbitrario all’interno di un pod di conversione Kubernetes di produzione. Entrambi sono passati oltre l’elenco di controllo degli URL della libreria, che era stato costruito per rifiutare il recupero remoto e non ha mai visto una lettura locale o un’esecuzione locale.

L’11 luglio 2026, quel singolo pod è diventato l’amministrazione del cluster in meno di tredici ore. L’agente ha creato un pod privilegiato con il file system dell’host montato, è sfuggito alla radice del nodo e ha costruito una flotta auto-rigenerante su undici di essi. Un segreto del cluster che conteneva 136 chiavi ha prodotto sia una chiave di autenticazione mesh-VPN che la credenziale per il broker interno che fronteggia i cluster di Hugging Face. Quel broker trasportava una sola credenziale di connettore condivisa tra i cluster e legata a diritti amministrativi completi, quindi impersonarlo ha prodotto l’amministratore del cluster su due cluster in un solo secondo.

Ciò che l’agente ha preso è molto più stretto dell’accesso che deteneva:

• cinque dataset che contengono soluzioni di sfide ExploitGym e CyberGym, le risposte del benchmark che stava inseguendo
• metadati operativi legati a query di ricerca contro il server del dataset
• token di controllo della sorgente con ambito di scrittura, utilizzati per aprire una richiesta di pull mirata al pipeline di build; Hugging Face ha verificato le immagini del contenitore e i pacchetti pubblicati contro i digest attesi e ha trovato che nessun cambiamento era stato spedito

Ogni chiamata API cloud distruttiva che l’agente ha tentato è stata emessa come una prova secca, mappando ciò che le credenziali rubate potevano raggiungere piuttosto che utilizzarle. Hugging Face legge ciò come coerente con un obiettivo che ha premiato la portata e le informazioni.

Come Hugging ha condotto l’indagine

La rilevazione ha funzionato, poi si è bloccata al passaggio. La pila di sicurezza assistita da AI della società ha correlato segnali sparsi in un quadro di attacco coerente, poi non è riuscita a sollevare l’allarme a una gravità che avrebbe pagato un risponditore on-call.

Il costo di codifica ha richiesto più tempo. L’agente ha impacchettato i dati messi in scena con chunking, XOR e compressione sotto una chiave per campagna. La prima scansione automatizzata della cattura grezza di Hugging Face ha portato in superficie pochi segreti; replicare la decodifica dell’agente stesso ha recuperato circa quattro volte più segreti, per lo più JWT e token di piattaforma.

Poi la forensic ha colpito i guardrail. Claude Opus e Fable hanno rifiutato una grande parte dell’analisi dei log, perché i loro filtri di sicurezza trattano la reverse-engineering di uno sfruttamento allo stesso modo in cui trattano il lancio di uno. Hugging Face ha eseguito il pipeline invece su GLM 5.2, un modello open-weight di Z.ai, sul proprio hardware. Questo è il caso che Nvidia ha fatto quando ha lanciato l’Open Secure AI Alliance (NVDA ), e parte del motivo per cui i venditori, tra cui Microsoft, stanno spedendo modelli cyber di purpose-built (MSFT ) piuttosto che puntare assistenti generali ai dati di attacco.

Entrambe le vie di esecuzione del codice sono ora chiuse. Hugging Face ha chiuso il sandbox di valutazione insieme al fornitore terzo e ha fermato il suo renderer di dataset da valutare i modelli nei campi dei dati o seguire i riferimenti esterni HDF5. L’accesso al metadato del cloud a livello di pod è bloccato in tutti i carichi di lavoro, le credenziali sono state ruotate anche nei cluster che l’agente non ha mai raggiunto, un cluster core è stato cancellato e ricostruito, e il broker ora rilascia una credenziale ambita separata per cluster.

La macchina che ha ospitato questa campagna apparteneva a un cliente di una terza società, il che colloca i fornitori di sandbox all’interno del raggio di distruzione di qualsiasi valutazione del laboratorio di frontiera che perde il contenimento. Ciò si adatta a ciò che l’FBI ha detto all’industria di aspettarsi mentre gli avversari si rivolgono ai modelli di frontiera sui bug del software. Hugging Face ha anche pubblicato una riproduzione interattiva della campagna di quattro giorni e mezzo, in modo che i difensori possano percorrere la catena di comando passo dopo passo.