Hugging Face is doelwit geworden van een inbraak die volledig door een leger aan AI-agents werd uitgevoerd. Het platform ontdekte en ontleedde de aanval grotendeels met een AI-model. Voor Hugging Face is het de eerste keer dat het zoiets meemaakt.
Hugging Face detecteerde niet-goedgekeurde toegang tot een beperkt aantal interne datasets en tot verschillende credentials van zijn diensten. Publieke modellen, datasets en Spaces bleven onaangetast, meldt het bedrijf in zijn melding van 16 juli. Ook de container images en gepubliceerde packages zijn schoon bevonden.
De aanval werd van begin tot eind aangestuurd door een autonoom agentframework. Hugging Face concludeert dit op basis van de aard van de aanval. De aanvaller voerde namelijk vele duizenden losse acties uit via een ‘zwerm’ kortlevende sandboxes, met een zelfmigrerende command-and-control op publieke diensten.
Van kwaadaardige dataset naar hele clusters
De inbraak begon in de data-processing pipeline, waar Hugging Face toegeeft dat AI-platformen extra kwetsbaar zijn. Een kwaadaardige dataset misbruikte twee code-execution paden: een remote-code dataset loader en een template-injection in een datasetconfiguratie. Zo kon de aanvaller code draaien op een processing worker, vervolgens escaleren naar node-niveau, cloud- en clustercredentials verzamelen en over een weekend lateraal door meerdere interne clusters bewegen.
Hugging Face heeft deze specifieke soort aanval niet eerder meegemaakt, maar is een bekende met (pogingen tot) infiltraties. Twee jaar geleden ontdekte het al een verdachte inbreuk op zijn Spaces-platform, en een jaar daarvoor konden hackers populaire LLM’s bewerken via blootgestelde API-tokens. Ook werd het platform dit jaar nog misbruikt om Android-malware te verspreiden. Deze keer is het platform zelf het slachtoffer.
Guardrails blokkeerden het onderzoek
Voor de analyse liep Hugging Face tegen een onverwacht probleem aan. Frontier-modellen achter commerciële API’s blokkeerden het aanleveren van echte exploit-payloads en C2-artefacten, omdat hun safety guardrails geen onderscheid maken tussen een incident responder en een aanvaller. Het bedrijf draaide de forensische analyse daarom op GLM 5.2, een open-weight model, op eigen infrastructuur. Zo verlieten de gegevens de eigen omgeving niet.
Deze guardrails zijn afwezig bij Mythos 5 en GPT-5.6-Cyber, modellen die Anthropic en OpenAI aanbieden aan deelnemers aanbieden aan partners in hun securityprogramma’s. Bij Anthropic is dit Project Glasswing, bij OpenAI heet deze Daybreak. Het creëert een ietwat curieuze scheiding tussen de ‘in-crowd’ die de allersterkste LLM’s kan gebruiken voor cybersecuritydoeleinden en een veel grotere groep die afhankelijk is van open-weight modellen zonder restricties, maar op moment van schrijven met iets zwakkere prestaties.