Hugging Face: у AI-инфраструктуры появилась новая поверхность атаки
⠀
В X разошёлся разбор Mike Takahashi про инцидент Hugging Face: вредоносный dataset, RCE в пайплайне обработки данных, кража credentials и дальнейшее движение по внутренним кластерам.
⠀
Это не надо читать как «AI теперь сам всё ломает». По официальному disclosure Hugging Face подтверждает более аккуратную картину: часть production-инфраструктуры была скомпрометирована, доступ был к ограниченному набору внутренних datasets и нескольким service credentials. Публичные модели, datasets, Spaces и supply chain контейнеров/пакетов, по их словам, не были изменены.
⠀
Самое интересное — не слово autonomous, а точка входа. Dataset для AI-платформы может оказаться исполняемым объектом. Если обработка поддерживает remote-code loader, шаблоны, превью, автоматические проверки и воркеры, то dataset становится входом в production-процесс.
⠀
Hugging Face пишет, что закрыло использованные code-execution paths, пересобрало скомпрометированные ноды, отозвало и ротировало затронутые credentials, усилило admission controls и detection. Отдельная деталь: для разбора более чем 17 000 событий они сначала пробовали hosted frontier models, но guardrails мешали анализировать реальные attack commands и C2 artifacts. В итоге forensic-разбор делали на open-weight модели GLM 5.2 в своей инфраструктуре.
⠀
Для команды или инвестора вывод довольно приземлённый: у AI-инфраструктуры надо проверять не только модель и API. Важно смотреть, что происходит с пользовательскими datasets, кто исполняет loaders/templates, какие credentials доступны воркерам, как отделены кластеры, как быстро ротируются токены и есть ли локальный инструмент для incident response, который не отдаёт логи атаки наружу.
⠀
Ограничение здесь тоже нужно проговорить. Из disclosure не следует, что пользовательские публичные модели были подменены или что все hosted models бесполезны для защиты. Но становится видно, что datasets в AI-платформах всё чаще ведут себя как код. И эту границу лучше проверять заранее, а не после первого странного upload.