Hugging Face ha subito un cyberattacco sofisticato che ha compromesso dataset interni e credenziali di servizio. L'incidente, svelato lo scorso gioved�, � stato attribuito a un "agente AI autonomo" che ha orchestrato migliaia di azioni attraverso sandbox temporanee, una dinamica che l'azienda stessa ha definito lo "scenario dell'attaccante agentico" previsto dal settore.
L'intrusione ha avuto inizio nella pipeline di elaborazione dati di Hugging Face. Gli aggressori hanno caricato un dataset malevolo, sfruttando due vulnerabilit� di esecuzione codice per operare su un worker di elaborazione. Questo ha consentito ai malintenzionati di sottrarre credenziali legate a cloud e cluster, estendendo la loro presenza su pi� cluster interni. Le vulnerabilit� specifiche includevano un'iniezione di template nella configurazione di un dataset e un loader di dataset con capacit� di esecuzione codice remota.
Hugging Face sta ancora verificando se i dati di partner o clienti siano stati coinvolti nella violazione, impegnandosi a contattare direttamente le parti interessate in caso di coinvolgimento. Ad oggi, l'azienda non ha riscontrato alterazioni a modelli pubblici, dataset o Spaces ospitati sulla piattaforma. La supply chain software interna � stata verificata e risulta "pulita" da contaminazioni.
