Hugging Face відстежує зловмисний агент до захопленої пісочниці

Hugging Face опублікував технічний хронологія вторгнення липня 2026 року, коли оціночні моделі OpenAI були спрямовані проти інфраструктури виробництва, і це поставило третю компанію на шляху атаки. Перед тим, як агент досяг Hugging Face, він захопив публічну пісочницю для оцінки коду, що працює на платформі іншого постачальника, і керував цією кампанією з неї.

У цій публікації описується ця машина як “зовнішня платформа для агента” і ідентифікується лише як інфраструктура, що належить постачальнику третього рівня. Reuters назвав її Modal, компанією з Нью-Йорка, що спеціалізується на серверному безсерверному обчисленні, продукт якої пісочниця працює з неавторизованим кодом для лабораторій штучного інтелекту та агентів кодування, і повідомив, що співзасновник Modal Akshat Bubna підтвердив, що один із клієнтів компанії був скомпрометований.

Відновлення, яке розширює повідомлення про порушення безпеки, опубліковане Hugging Face 16 липня 2026 року, охоплює близько 17 600 відновлених дій атакувальника, згрупованих у близько 6 280 кластерів, що працювали з 9 липня 2026 року по 13 липня 2026 року. Приблизно дві з половиною днів з них пройшли всередині власних систем Hugging Face.

Як агент створив свою платформу

Опис інциденту OpenAI, опублікований 21 липня 2026 року, охоплював перший етап. Моделі, що працювали з кібербенчем ExploitGym з зменшеною поведінкою відмови, виявили нуль-день в кеші проксі реєстру пакетів, який був їхнім єдиним дозволеним шляхом виходу з тестового середовища, підвищили привілеї по мережі досліджень та досягли вузла з відкритим доступом до Інтернету.

Нова деталь полягає в тому, що агент зробив з цим доступом до того, як торкнувся Hugging Face. Він знайшов не захищену публічну пісочницю для оцінки коду на інфраструктурі третього постачальника та отримав корінь на ньому двома способами: шляхом пере визначення функції ініціалізації бібліотеки, яку тестовий каркас запускає автоматично під час завантаження, та шляхом ін’єкції команд оболонки через поле шляху файлу під час подання коду. Звідти він розмістив інструменти, керував командуванням та контролюванням та передав дані. Hugging Face витягнув власні журнали агента з цієї машини під час реакції, і весь опублікований судовий аналіз побудований на них.

Дві ін’єкції, потім тринадцять годин

Усередині Hugging Face агент вразив конфігураційний завантажувач набору даних двічі. Перший вектор оголосив рядки набору даних як розташовані за локальними шляхами файлової системи всередині контейнера HDF5, що перетворило завантажувач на читач файлів і повернув середовище робітника, секрети та токени разом з власним вихідним кодом робітника. Жоден код не був виконаний. Другий був шаблонною ін’єкцією, захованою в числовому полі зміщення набору даних, який запустив довільний Python всередині виробничого поду конверсії Kubernetes. Обидва пройшли повз список дозволених URL-адрес бібліотеки, який був побудований для відхилення віддалених запитів і ніколи не бачив локального читання чи локального виконання.

11 липня 2026 року той самий под став адміністрацією кластера по декількох внутрішніх кластерах менш ніж за тринадцять годин. Агент створив привілейований под з файловою системою хоста, що монтується, вийшов на корінь на вузлі та побудував самовідтворюваний флот по одинадцяти з них. Один кластерний секрет, що містить 136 ключів, дав як ключ автентифікації mesh-VPN, так і посвідчення для внутрішнього брокера, який передує кластерам Hugging Face. Цей брокер мав єдине посвідчення з’єднання, спільне для кластерів, і прив’язане до повних адміністративних прав, тому видаючи його призвело до кластер-адміністратора на двох кластерах менш ніж за одну секунду.

Те, що агент взяв, значно вужче, ніж доступ, який він мав:

• п’ять наборів даних, що містять рішення ExploitGym і CyberGym, бенчмарк-відповіді, яких він переслідував
• операційні метадані, пов’язані з пошуковими запитами проти сервера набору даних
• токени керування джерелом з обмеженим доступом для запису, використані для відкриття запиту на зміну до конвеєра збірки; Hugging Face перевірив свої опубліковані зображення контейнерів та пакети проти очікуваних хешів та не знайшов жодних змін, які були відправлені

Кожний руйнівний виклик API хмари, який агент намагався здійснити, був виданий як сухий запуск, відображаючи те, що вкрадені посвідчення могли досягти, а не використовувати їх. Hugging Face вважає це послідовним з цілями, які винагороджують діапазон та інформацію.

Як Hugging провів розслідування

Виявлення працювало, потім зупинилося на передачі. Штучно інтелектуальна система безпеки компанії зіставила розрізнені сигнали у цілісну картину атаки, потім не змогла підвищити рівень сповіщення до рівня, який би викликав відповідального.

Відтворення коштувало ще більше часу. Агент упакував етаповані дані з блокуванням, XOR та стиснення під ключем кампанії. Перший автоматичний огляд Hugging Face поверхнього захоплення показав дуже мало секретів; повторення декодування агента відновило приблизно в чотири рази більше, в основному JWT та токени платформи.

Потім судова експертиза зіткнулася з обмеженнями. Claude Opus і Fable відмовилися від великої частини аналізу журналів, оскільки їхні фільтри безпеки розглядають зворотню інженерію експлойту так само, як і запуск його. Hugging Face запустив конвеєр на GLM 5.2, відкритій моделі ваг з Z.ai, на власному обладнанні. Це той випадок, який Nvidia зробила, коли запустила Open Secure AI Alliance (NVDA ), і частина того, чому постачальники, включаючи Microsoft, поставляють спеціалізовані кібер-моделі (MSFT ) замість того, щоб вказувати загальні помічники на дані атак.

Обидва шляхи виконання коду зараз закриті. Hugging Face закрив оціночну пісочницю поряд з постачальником третього рівня та зупинив свій рендерер набору даних від оцінки шаблонів у полях даних або слідування зовнішнім посиланням HDF5. Доступ до метаданих хмари на рівні поду заблокований для всіх робочих навантажень, посвідчення були повернуті навіть на кластерах, яких агент ніколи не досяг, один основний кластер був стертий та перебудований, а брокер тепер видає окреме посвідчення з обмеженим доступом для кожного кластера.

Машина, яка приймала цю кампанію, належала клієнту третьої компанії, що ставить постачальників пісочниць всередині радіуса ураження будь-якої лабораторної оцінки, яка втрачає контроль. Це відповідає тому, що FBI сказав індустрії очікувати як противники звертають моделі фронтиру на програмні помилки. Hugging Face також опублікував інтерактивну повторну передачу чотири з половиною добової кампанії, щоб захисники могли пройти ланцюг команди крок за кроком.