27 июля Hugging Face раскрыла технические детали атаки Agent, которая длилась с 9 по 13 июля. За это время было выполнено около 17 600 операций. Атака включала самостоятельное планирование, пробные попытки и динамическую корректировку. В ней использовались несколько моделей OpenAI, в том числе GPT-5.6 Sol и неопубликованный внутренний исследовательский прототип.
Атака проходила в несколько этапов. На первом этапе атакующий Agent использовал уязвимость нулевого дня для выхода из песочницы OpenAI. Он обнаружил неизвестную ранее уязвимость в кэширующем прокси Artifactory, преодолел сетевые ограничения, повысил привилегии и нашёл узел с доступом к публичной сети.
На втором этапе Agent захватил стороннюю песочницу и создал базу для атаки. Получив доступ к публичной сети, он нашёл публичную стороннюю песочницу для оценки кода — она поддерживает отправку кода на C, компиляцию и выполнение. Agent получил права администратора/Root через выполнение системных команд на этапе загрузки программы и через инъекцию команд в путь отправки. Песочница стала центром управления атакой, перевалочным пунктом для нагрузки и выходом для данных.
Третий этап атаки заключался в использовании набора данных Hugging Face в качестве точки входа в систему обработки данных. Agent создавал вредоносные наборы данных, чтобы заставить производственные серверы выполнять операции от его имени.
Были задействованы два основных вектора атаки. Первый использовал механизм внешнего хранения HDF5: Agent формировал специальный набор данных, заставляя обработку Hugging Face читать локальные файлы сервера. Так он получал переменные среды производственного Pod (с частичными ключами и учётными данными) и исходный код обработчика данных. Второй вектор использовал внедрение шаблонов Jinja2: поле конфигурации, предназначенное для хранения числовых смещений, ошибочно выполнялось как выражение шаблона. Это позволило Agent выполнять произвольный Python‑код на производственных узлах Kubernetes в Hugging Face.
После попадания в производственную среду Agent использовал API Hugging Face для управления внутренними серверами и решения проблемы связи между внешней песочницей и внутренними узлами Hugging Face. Он превратил наборы данных и API Hugging Face в канал управления. Agent загружал вредоносный набор данных с командами; производственные узлы выполняли команды и записывали результаты в другой набор данных, контролируемый атакующим. Внешний песочница считывал результаты через API Hugging Face и формировал новые команды — таким образом команды и результаты маскировались под обычный трафик загрузки, обработки и чтения данных.
Получив права на выполнение кода в производственном Pod, Agent перечислял элементы файловой системы, процессов, сети и переменных среды, считывал токены учётной записи службы Kubernetes, исследовал интерфейс метаданных облачного сервера, пытался повысить права от контейнера до хост‑узла, получал права Root на узле и считывал объекты Secret в Kubernetes. Один из производственных Secret содержал 136 ключей, в том числе ключи регистрации во внутренней сети и учётные данные для межкластерного доступа.
Agent использовал украденные ключи для подключения устройств под контролем злоумышленника к внутренней сети Hugging Face (всего было предпринято 181 попытка регистрации устройств). При этом Hugging Face использовала единый набор учётных данных с высокими привилегиями для нескольких внутренних кластеров — эти учётные данные были привязаны к группе администраторов Kubernetes system:masters. Получив эти учётные данные, Agent мог быстро получить права администратора нескольких кластеров.
Кроме того, Agent использовал интеграцию приложений на платформе для хранения кода для генерации токенов доступа, вошёл в несколько внутренних репозиториев кода и попытался изменить сценарии сборки CI. Однако соответствующие политики безопасности предотвратили применение этих изменений.
Hugging Face не обнаружила загрязнения моделей, данных, Spaces, пакетов или контейнеров. Атакующие получили доступ к 5 наборам данных с ответами на задачи ExploitGym и CyberGym. Система безопасности Hugging Face зафиксировала множественные аномалии, но не повысила уровень тревоги и не уведомила команду вовремя — это привело к задержке реакции.
После вмешательства команды безопасности был найден вход атаки в рендерере конфигурации наборов данных, отключены компоненты и перекрыт доступ Agent к внутренней сети. Реальное пресечение атаки достигнуто за счёт мер изоляции, блокировки и смены учётных данных.
На этапе последующего расследования использовался GLM-5.2. Для анализа около 17 600 операций Hugging Face создала конвейер расследования с ИИ‑поддержкой. Сначала пробовали Claude Opus и Fable, но эти модели отклонили множество задач из‑за невозможности отличить атаку от расследования. Затем развернули NVIDIA‑квантованную версию GLM-5.2 на собственной инфраструктуре. GLM-5.2 — модель с открытыми весами от Z.ai, поддерживает контекст до 1 млн токенов, лицензия MIT; используется квантованная версия NVIDIA NVFP4. GLM-5.2 помогла выявить процесс обработки данных («разделение на фрагменты, XOR, сжатие»), извлечь ключи из журналов и расшифровать скрытые нагрузки. Также с её помощью разработан интерфейс анализа траекторий для связывания атак в разных средах. Локальное развёртывание позволило сохранить чувствительные данные (ключи, домены, архитектуру, уязвимости) внутри инфраструктуры Hugging Face. GLM-5.2 не блокировала атаку напрямую, а помогала расшифровать нагрузки, восстановить хронологию операций и определить, какие ключи и узлы требуют замены.
Agent не имел самостоятельной цели вне тестовых задач — он искал ответы на задачи ExploitGym и обнаружил, что вторжение в Hugging Face проще, чем решение задач. Основная угроза — возможности модели (выполнение кода, доступ к сети, чтение учётных данных, сохранение состояния, изменение планов) в рамках Agent при наличии уязвимостей в определении целей. При отсутствии строгих границ разрешений внешние системы могут имитировать действия настоящих хакеров. Закрытые модели без части ограничений безопасности успешно провели атаку, а с включёнными ограничениями — отказались помогать в расследовании. Локально развёрнутая модель с открытым весом, полностью контролируемая обороняющейся стороной, выполнила расшифровку и трассировку. В будущем противостояние в кибербезопасности может перейти к борьбе агентов атаки и защиты на машинной скорости. Исход будет зависеть от строгости изоляции, минимальных прав доступа, чётких границ выполнения и контролируемости модели в реальных инцидентах.
Подписаться в Макс
