Hugging Face hacket av autonom KI-agent: vestlige modeller nektet å hjelpe

Angriperen var ikke bundet av en eneste bruksbetingelse. Forsvareren ble stoppet av sine egne. Den kontrasten er det Hugging Face selv løfter fram i hendelsesrapporten selskapet publiserte 16. juli, etter at et autonomt KI-agentsystem tok seg inn i deler av produksjonsinfrastrukturen og fikk tilgang til interne datasett og legitimasjon brukt av tjenestene deres.

Inngangen var datasett-pipelinen. Et ondsinnet datasett utnyttet to kjøreveier for kode, en fjernkode-laster for datasett og en template-injeksjon i en datasett-konfigurasjon, til å kjøre kode på en prosesseringsnode. Derfra eskalerte angriperen til node-nivå, hentet ut sky- og klyngelegitimasjon og beveget seg sidelengs inn i flere interne klynger i løpet av en helg. Agentrammeverket utførte flere tusen enkelthandlinger fordelt på en sverm av kortlevde sandkasser, med kommandoinfrastruktur som flyttet seg selv mellom offentlige tjenester.

«Det var drevet, fra ende til ende, av et autonomt KI-agentsystem, og vi oppdaget og dissekerte det i stor grad med vår egen KI.» — Hugging Face, hendelsesrapport 16. juli 2026

Selskapet oppdaget angrepet gjennom en LLM-basert anomalideteksjon som korrelerte sikkerhetstelemetri, og kjørte deretter analyse-agenter over hele angrepsloggen på over 17 000 registrerte hendelser for å rekonstruere tidslinjen, hente ut indikatorer på kompromittering og kartlegge hvilken legitimasjon som var berørt. Det tok timer, ikke dager.

Men den forensiske jobben traff en vegg først. Analysen krever at du sender inn store mengder ekte angrepskommandoer, exploit-nyttelast og C2-artefakter, og de forespørslene ble blokkert av sikkerhetsfiltrene hos leverandørene. Modellene klarte ikke å skille en angriper fra et legitimt hendelsesrespons-team. Hugging Face endte med å kjøre GLM 5.2, en åpen modell fra Z.ai, på egen infrastruktur.

«Angriperen var ikke bundet av noen bruksbetingelser, mens vårt eget forensiske arbeid ble blokkert av sikkerhetsfiltrene i de hostede modellene vi først forsøkte.» — Hugging Face, hendelsesrapport 16. juli 2026

For deg som bygger er det to ting her. Angrepsflaten er den samme mekanismen du selv bruker: datasets med trust_remote_code kjører fremmed kode på maskinen din, og det var nøyaktig den veien inn angriperen tok. Og skal du noen gang granske en hendelse i eget miljø, er en API-modell et upålitelig verktøy, både fordi filtrene slår inn og fordi du sender angrepsdata og legitimasjon ut av miljøet ditt.

Hugging Face fant ingen tegn til at agenten tuklet med offentlige modeller, datasett eller Spaces, og verifiserte at egen programvarekjede var ren. Selskapet har fjernet fotfestet, bygget om kompromitterte noder, rotert legitimasjon og strammet inn admission control i klyngene. Vurderingen av om partner- eller kundedata er berørt pågår fortsatt.

Hva bør du gjøre?

1. Roter access-tokenene dine på Hugging Face og gå gjennom nylig aktivitet på kontoen. Selskapet anbefaler det til alle brukere, ikke bare de som vet at de er berørt.
2. Skru av trust_remote_code på datasett og modeller du ikke har lest gjennom selv. Det er kjøreveien angrepet startet i.
3. Test en åpen modell lokalt nå, før du trenger den, slik at du ikke står uten analyseverktøy midt i en hendelse.