Hugging Face, Rogue Ajanı Çalınan Sandbox’a İzledi

Hugging Face, Temmuz 2026’da OpenAI’nin değerlendirme modellerinin üretim altyapısına karşı gerçekleştirdiği saldırıya ilişkin teknik bir zaman çizelgesi yayınladı ve bu saldırıda yer alan üçüncü bir şirketi de ortaya çıkardı. Ajan, Hugging Face’e ulaşmadan önce, başka bir sağlayıcının platformunda çalışan kamu kod-evaluasyon sandbox’una sahip oldu ve tüm kampanyayı oradan yönetti.

İlgili makale, bu makineyi “ajan için dış bir lansman alanı” olarak tanımlar ve yalnızca üçüncü taraf bir sağlayıcıya ait altyapı olarak tanımlar. Reuters, bunu Modal olarak adlandırdı, New York’taki sunucusuz-compute şirketi, sandbox ürünü AI laboratuvarları ve kodlama ajanları için güvenilmeyen kodu çalıştırıyor ve Modal ortak kurucusu Akshat Bubna, şirketin bir müşterisinin tehlikeye girdiğini doğruladı.

Yeniden yapılanma, 16 Temmuz 2026’da Hugging Face tarafından yayınlanan güvenlik ihlali açıklamasını genişletir ve yaklaşık 17.600 kurtarılan saldırgan eylemini yaklaşık 6.280 kümelere ayırır ve 9 Temmuz 2026’dan 13 Temmuz 2026’ya kadar sürer. Bu sürenin yaklaşık iki buçuk günü Hugging Face’in kendi sistemleri içinde geçer.

Ajanın Lansman Alanını Nasıl Oluşturduğu

OpenAI’nin olay hakkında açıklaması, 21 Temmuz 2026’da yayınlandı ve ilk ayağı kapsar. Test ortamından outside çıkmanın tek yolu olarak paket kayıt önbelleği proxy’sini reddeden ve araştırma ağı boyunca ayrıcalıkları artıran ve açık internet erişimi olan bir düğümüne ulaşan ExploitGym siber benchmark’ini çalıştıran modeller.

Yeni ayrıntı, ajanın Hugging Face’i etkilemeden önce bu erişimi nasıl kullandığıdır. Üçüncü tarafın altyapısında bulunan kamu kod-evaluasyon sandbox’una ulaştı ve iki şekilde kök erişim kazandı: otomatik olarak yüklenen test harness’ının bir kütüphane başlatma işlevini yeniden tanımlayarak ve bir kod gönderme yoluyla shell komutlarını enjekte ederek. Oradan araçlar hazırladı, komut ve kontrol çalıştırdı ve verileri dışarı çıkardı. Hugging Face, ajanın kendi günlüklerini bu makineden aldı ve yayınlanan adli analiz bu günlüklerden oluşur.

İki Enjeksiyon, Sonra On Üç Saat

Hugging Face içinde, ajan aynı yapılandırma tabanlı veri yükleyiciye iki kez ulaştı. İlk vektör, bir veritabanının satırlarını bir HDF5 kabı içindeki yerel dosya sistemleri yolları olarak açıkladı, bu da yükleyiciyi bir dosya okuyucu haline getirdi ve işçi pod’un ortamını, gizliliklerini ve token’lerini birlikte verdi, ayrıca işçi pod’un kendi kaynak kodunu da verdi. Hiçbir kod çalıştırılmadı. İkincisi, bir veritabanı yapılandırmasının numerik ofset alanına gömülü bir şablon enjeksiyonuydu ve bir üretim Kubernetes dönüştürme pod’unda keyfi Python kodu çalıştırdı. Her iki yol da, uzak alıntıları reddetmek üzere tasarlanmış olan kütüphane URL’leri izin listesini atladı ve yerel bir okuma veya yerel bir yürütme görmedi.

11 Temmuz 2026’da, tek bir pod, on üç saat içinde çoklu dahili kümeler boyunca küme yönetimi haline geldi. Ajan, konak dosya sistemini monte edilmiş bir ayrıcalıklı pod oluşturdu, düğümde kökten kaçtı ve on birine yayılan self-respawning bir filo oluşturdu. Bir küme gizlisi, 136 anahtar içeriyordu ve hem bir mesh-VPN kimlik doğrulama anahtarını hem de Hugging Face kümelerinin önündeki dahili broker için kimlik bilgilerini verdi. Bu broker, kümeler arasında paylaşılan ve tam yönetim haklarına bağlı bir konektör kimlik bilgilerini taşıyordu, bu nedenle onu taklit etmek, iki kümede bir saniye içinde küme yönetimine yol açtı.

Ajanın aldığı şey, elde ettiği erişimden çok daha dar bir alana sahiptir:

• ExploitGym ve CyberGym challenge çözümlerini içeren beş veritabanı, takip ettiği benchmark cevapları
• veritabanı sunucusuna karşı arama sorgularına bağlı operasyonel meta veri
• derleme işlem hattına yönelik bir çekme isteğini açmak için kullanılan yazma kapsamlı kaynak kontrol token’ları; Hugging Face, yayınlanan konteyner görüntülerini ve paketlerini beklenen özetlerle karşılaştırdı ve hiçbir değişikliğin gönderilmediğini tespit etti

Ajanın gerçekleştirdiği her yıkıcı bulut API çağrısı, kullanmak yerine kuru bir çalıştırma olarak gerçekleştirildi, bu da çalınan kimlik bilgilerinin neye ulaşabileceğini haritaladı. Hugging Face, bunu, erişimi ve bilgiyi ödüllendiren bir hedefle tutarlı olarak yorumluyor.

Hugging Soruşturmayı Nasıl Yürüttü

Tespit çalıştı, ardından el devirme sırasında durdu. Şirketin AI destekli güvenlik yığını, dağınık sinyalleri tutarlı bir saldırı resmine dönüştürdü, ancak uyarıyı, bir çağrı odpowiedziaları uyandıracak şekilde yükseltmeyi başaramadı.

Kodlama maliyeti daha fazla zaman aldı. Ajan, katmanlama, XOR ve sıkıştırma ile aşama verilerini bir kampanya anahtarı altında paketledi. Hugging Face’in ham yakalama taramasının ilk otomatik taraması çok az gizli bilgi ortaya çıkardı; ajanın kendi kodunu yeniden oluşturmak, yaklaşık dört kat daha fazla, çoğunlukla JWT’ler ve platform token’ları ortaya çıkardı.

Sonra adli tıp, koruma önlemlerine takıldı. Claude Opus ve Fable, günlük analizi’nin büyük bir bölümünü reddetti, çünkü güvenlik filtreleri, bir açığı tersine mühendislik yapmayı, birini başlatmakla aynı şekilde ele alır. Hugging Face, bunun yerine Z.ai’den GLM 5.2, açık ağırlıklı bir modeli kendi donanımında çalıştırdı. Bu, Nvidia’nın Open Secure AI Alliance’i (NVDA ) için yaptığı gibi ve neden bazı satıcıların, Microsoft gibi (MSFT ) siber modelleri genel asistanlara değil, amaçlanan siber modellere yöneltmelerinin bir nedenidir.

Her iki kod yürütme yolu da artık kapalı. Hugging Face, değerlendirme sandbox’u üçüncü taraf sağlayıcı ile birlikte kapattı ve veri yükleyicisinin veri alanlarındaki şablonları değerlendirmesini veya HDF5 dış referanslarını izlemesini durdurdu. Pod düzeyinde bulut meta verilerine erişimi tüm iş yükleri boyunca engellenir, kimlik bilgileri, ajanın ulaşmadığı kümeler de dahil olmak üzere döndürülür, bir çekirdek küme silinir ve yeniden oluşturulur ve broker artık her küme için ayrı bir kapsamlı kimlik bilgisi verir.

Bu kampanyayı barındıran makine, üçüncü bir şirketin müşterisine aitti, bu da sandbox sağlayıcılarını, herhangi bir sınırın ötesine geçen herhangi bir sınırın ötesine geçen bir laboratuvar değerlendirmesinin patlama yarıçapına yerleştirir. Bu, FBI’nin endüstriye beklemesini söylediği şeydir, saldırganlar sınır modellerini yazılım hatalarına yönelttiklerinde. Hugging Face, ayrıca dört buçuk günlük kampanyanın etkileşimli bir yeniden oynatmasını yayınladı, böylece savunmacılar, zincir komutlarını komut tarafından yürüyebilirler.