Точка входу — не сервери, а дані. Шкідливий датасет експлуатував дві вразливості в пайплайні обробки: завантажувач датасетів із можливістю виконання довільного коду та template-injection у конфігурації датасету. Це дозволило запустити код на обробному воркері, а звідти зловмисник підняв привілеї до рівня ноди, зібрав облікові дані хмари й кластера і за одні вихідні розповзся по кількох внутрішніх кластерах.
За описом компанії, кампанією керував автономний агентний фреймворк, ймовірно побудований на основі інструментарію для агентних security-досліджень, — яка саме LLM стояла за ним, досі невідомо. Агент виконав тисячі окремих дій у рої короткоживучих пісочниць із самомігруючою командно-контрольною інфраструктурою, розгорнутою на публічних сервісах. Це майже точне попадання в сценарій "агентного зловмисника", який індустрія прогнозувала роками.
Серйозної шкоди, за оцінкою HuggingFace, не сталося: зловмисник отримав доступ до обмеженого набору внутрішніх даних і кількох облікових записів внутрішніх сервісів. Публічні моделі, датасети й Spaces не постраждали, а весь ланцюжок постачання — контейнерні образи й опубліковані пакети — залишився чистим. Питання, чи торкнулося це даних партнерів або клієнтів, компанія ще перевіряє.
Помітити атаку вдалося саме завдяки ШІ: система тріажу на основі LLM постійно аналізує телеметрію безпеки і відсіює фоновий шум від реальних сигналів, і саме кореляція таких сигналів врешті виявила компрометацію. Далі журнал дій зловмисника — понад 17 тисяч подій — прогнали через LLM-агентів, які відновили повну хронологію, витягли індикатори компрометації і відділили реальний вплив від відволікаючих маневрів. Те, що зазвичай займає дні розслідування, зробили за години.
Тут спливає цікавий нюанс. Спочатку в HuggingFace спробували аналізувати логи через комерційні API топових моделей — і це не спрацювало. Аналіз вимагає завантажувати справжні команди зловмисника, експлойти й артефакти командно-контрольної інфраструктури, а захисні механізми провайдерів блокували такі запити, бо просто не вміють відрізнити фахівця з реагування на інциденти від самого зловмисника. У підсумку криміналістичний аналіз провели на власній інфраструктурі, використавши відкриту модель GLM 5.2 — це заразом убезпечило дані атаки від витоку за межі компанії.
Тут і проявляється структурна асиметрія: зловмисник, якою б моделлю не керувався його агент — джейлбрейкнутою комерційною чи необмеженою відкритою, — не був зв'язаний жодною політикою використання, тоді як захисники наштовхнулися на guardrails тих самих інструментів, які мали б їм допомагати. А це означає, що будь-якій команді безпеки варто заздалегідь мати перевірену модель, готову для розгортання на власній інфраструктурі, а не шукати рішення вже в розпал атаки.
Автономні ШІ-інструменти для атак перестали бути гіпотезою з аналітичних доповідей і стали робочим інструментом, здатним вести довгу, терпляче сплановану, багатоетапну кампанію на швидкості машини — і суттєво знижують поріг входу для зловмисників. Для платформ на кшталт HuggingFace це означає, що дані і моделі самі стають повноцінною поверхнею атаки, а захист без власного ШІ на варті просто не встигає за темпом такої гонки.