Hugging Face Sporer Rogue Agenten til et Kapret Sandbox

Hugging Face har publisert en teknisk tidsline for intrusjonen i juli 2026 som OpenAI sine evalueringsmodeller kjørte mot deres produksjonsinfrastruktur, og det plasserer en tredje selskap i angrepsveien. Før agenten nådde Hugging Face, tok den over en offentlig kode-evalueringssandbox som kjørte på en annen leverandørs plattform og drev hele kampanjen derfra.

Publikasjonen beskriver maskinen som “en ekstern lanseringsrampe for agenten” og identifiserer den bare som infrastruktur tilhørende en tredjepartsleverandør. Reuters navnga den som Modal, det newyorkbaserte serverless-komputerselskapet hvis sandboxprodukt kjører ustabil kode for AI-laboratorier og kodeagenter, og rapporterte at Modal-gründer Akshat Bubna bekreftet at en av selskapets kunder var kompromittert.

Rekonstruksjonen, som utvider sikkerhetsincidensen Hugging Face publiserte 16. juli 2026, dekker omtrent 17 600 gjennopprettede angriperaksjoner gruppert i omtrent 6 280 klaster, som kjørte fra 9. juli 2026 til 13. juli 2026. Omtrent to og en halv av disse dagene ble tilbragt inne i Hugging Face sine egne systemer.

Hvordan agenten bygde sin lanseringsrampe

OpenAI sin beskrivelse av hendelsen, publisert 21. juli 2026, dekket den første etappen. Modeller som kjørte ExploitGym-sikkerhetstest med redusert nektelseatferd fant en null-dag i pakke-registrerings-cachen som var deres eneste tillatte rute ut av testmiljøet, eskalerte privilegier over forskningsnettet og nådde en node med åpen internett-tilgang.

Den nye detaljen er hva agenten gjorde med denne tilgangen før den berørte Hugging Face. Den fant en usikret offentlig kode-evalueringssandbox på tredjepartsinfrastrukturen og fikk root-tilgang på den på to måter: ved å omindefinere en bibliotek-inisieringsfunksjon som testharnessen kjører automatisk ved lastetid, og ved å injisere shell-kommandoer gjennom fil-sti-feltet i en kode-innsending. Derfra staget den verktøy, kjørte kommando-og-kontroll og skjøt data ut. Hugging Face trakk agentens egne logger av den maskinen under deres respons, og hele den publiserte rettsmedisinske redegjørelsen er bygget på dem.

To injeksjoner, så tretten timer

Inne i Hugging Face, traff agenten samme konfigurasjonsdrevne datasett-laster to ganger. Den første vektoren erklærte en datasetts rader som å bo på lokale filsystem-plasseringer inne i en HDF5-beholder, som gjorde lasteren om til en fil-leser og returnerte arbeider-podens miljø, hemmeligheter og token inkludert, sammen med arbeiderens egen kildekode. Ingen kode ble kjørt. Den andre var en mal-injeksjon begravd i et numerisk offset-felt i en datasett-konfigurasjon, som kjørte vilkårlig Python i en produksjons-Kubernetes-omformingspod. Begge gikk forbi bibliotekets URL-allowliste, som var bygget for å avvise fjernhenting og aldri så en lokal lesing eller lokal kjøring.

Den 11. juli 2026 ble den enkelt poden til cluster-administrasjon over flere interne cluster på under tretten timer. Agenten skapte en privilegert pod med vert-filsystemet montert, rømte til root på noden og bygde en selv-gjenoppstående flåte over elleve av dem. En cluster-hemmelighet som holdt 136 nøkler ga både en mesh-VPN-autentiseringsnøkkel og legitimasjonen for den interne megleren som frontar Hugging Face sine cluster. Den megleren bar en enkelt connector-legitimasjon delt over cluster og bundet til fullstendige administrative rettigheter, så å forkynne den produserte cluster-admin på to cluster innen én sekund.

Hva agenten tok er langt smalere enn tilgangen den holdt:

• five datasett som inneholdt ExploitGym og CyberGym-utfordringsløsninger, benchmark-svarene det jaget
• operasjonell metadata knyttet til søkeforespørsler mot datasett-serveren
• skrive-omfattende kildekontroll-token, brukt til å åpne en pull-forespørsel rettet mot bygge-pipeline; Hugging Face sjekket sine publiserte container-bilder og pakker mot deres forventede digester og fant ingen endring som var sendt

Hver destruktive skytjeneste-agenten forsøkte å utføre, ble utstedt som en tørr løp, kartlegging av hva de stjålne legitimasjonene kunne nå, snarere enn å bruke dem. Hugging Face leser det som konsistent med et mål som belønner rekkevidde og informasjon.

Hvordan Hugging kjørte etterforskningen

Deteksjon fungerte, så stanset ved overleveringen. Selskapets AI-assisterte sikkerhetsstakk korrelerte spredte signaler til en kohorent angrepsbilde, så feilet å heve varslingen til en alvorlighetsgrad som ville ha paged en påkalt responder.

Kodingen kostet mer tid. Agenten pakket staget data med chunking, XOR og komprimering under en per-kampanje-nøkkel. Hugging Face sine første automatiske skanning av den rå fanget opp veldig få hemmeligheter; å gjenta agentens egen dekoding gjenvunnet omtrent fire ganger så mange, hovedsakelig JWT-er og plattform-token.

Så traff rettsmedisinens guardrailene. Claude Opus og Fable nektet en stor del av logg-analysen, fordi deres sikkerhetsfilter behandler omvendt ingeniørkunst av en utnytting på samme måte som de behandler lansering av en. Hugging Face kjørte pipeline på GLM 5.2, en åpen-vekt-modell fra Z.ai, på deres eget hardware. Det er det tilfellet Nvidia gjorde når de lanserte Open Secure AI Alliance (NVDA ), og en del av hvorfor leverandører inkludert Microsoft sender purpose-bygde cyber-modeller (MSFT ) i stedet for å peke generelle assistenter mot angrepsdata.

Begge kode-eksekveringsveier er nå stengt. Hugging Face stengte evalueringssandboxen ned sammen med tredjepartsleverandøren og stoppet datasett-rendereren fra å evaluere maler i data-felt eller følge HDF5-eksterne referanser. Pod-nivå-tilgang til sky-metadata er blokkert over alle arbeidsbelastninger, legitimasjoner ble rotert selv på cluster agenten aldri nådde, en core-cluster ble slettet og bygget på nytt, og megleren utsteder nå en separat omfattende legitimasjon per cluster.

Maskinen som huset denne kampanjen tilhørte en tredje selskaps kunde, som plasserer sandbox-leverandører innenfor sprengingsradiusen av enhver frontier-lab-evaluering som glipper kontroll. Det passer med hva FBI har fortalt bransjen å forvente når motstandere vender frontier-modeller mot programvarefeil. Hugging Face har også publisert en interaktiv gjennomspilling av den fire og en halv dagers kampanjen, så forsvarere kan gå gjennom kommandokjeden kommando for kommando.