Hugging Face rivela un’intrusione guidata da un agente AI autonomo

Hugging Face ha pubblicato la disclosure di un’intrusione rilevata nella propria infrastruttura di produzione. La differenza rispetto a incidenti precedenti è sostanziale: l’attacco è stato condotto end-to-end da un sistema di agenti AI autonomi, e l’azienda lo ha rilevato e analizzato in gran parte con AI propria. L’accesso non autorizzato ha riguardato un insieme limitato di dataset interni e alcune credenziali di servizio; non ci sono evidenze di manomissione dei modelli, dataset o Spaces pubblici, e la software supply chain (container image e pacchetti) è risultata pulita.

Come è avvenuto

L’intrusione è partita dove le piattaforme AI sono più esposte: la data-processing pipeline. Un dataset malevolo ha sfruttato due percorsi di code execution nel processing dei dataset (un loader con remote code e una template injection nella configurazione) per eseguire codice su un worker. Da lì l’attore è salito ad accesso a livello di nodo, ha raccolto credenziali cloud e di cluster e si è mosso lateralmente in più cluster interni nell’arco di un weekend. La campagna è stata gestita da un framework agentico che ha eseguito molte migliaia di azioni su uno sciame di sandbox effimere, con command-and-control auto-migrante su servizi pubblici. È lo scenario dell’”agentic attacker” che l’industria prevedeva da tempo.

Il problema dell’asimmetria

Per capire cosa avessero fatto decine di migliaia di azioni automatiche, Hugging Face ha eseguito agenti di analisi LLM sull’intero log delle azioni dell’attaccante, oltre 17.000 eventi registrati, ricostruendo la timeline in ore anziché giorni. Qui è emerso un vincolo inatteso: i modelli frontier dietro API commerciali hanno bloccato l’analisi, perché inviare comandi d’attacco reali, payload di exploit e artefatti C2 attiva i guardrail di sicurezza, che non distinguono un incident responder da un attaccante. L’analisi forense è stata quindi svolta su GLM 5.2, un modello open-weight, sull’infrastruttura interna, evitando anche che i dati dell’attacco lasciassero l’ambiente. La lezione pratica per i difensori: avere un modello capace, eseguibile in casa e già valutato, prima di un incidente. L’attaccante non era vincolato da alcuna usage policy, mentre il lavoro forense difensivo era bloccato dai guardrail dei modelli hosted.

• Il vettore iniziale è stata la pipeline di processing dei dataset, con due percorsi di code execution poi chiusi.
• I guardrail dei modelli hosted hanno impedito l’analisi forense, spingendo verso un modello open-weight eseguito internamente.
• Hugging Face ha ruotato le credenziali compromesse, ricostruito i nodi, rafforzato admission control e detection, e segnalato l’incidente alle autorità.

Fonte: Security incident disclosure — July 2026 — https://huggingface.co/blog/security-incident-july-2026