Hugging Face beschreibt den Angriff als bemerkenswerten Fall, weil ausgerechnet ein autonomes KI-Agentensystem hinter dem Einbruch gestanden haben soll. Das Unternehmen erklärte, der Angriff habe seine Produktionsinfrastruktur getroffen. Betroffen waren nach bisherigem Kenntnisstand ein begrenzter Satz interner Datensätze sowie mehrere Zugangsdaten, die von Diensten der Plattform verwendet wurden.
Als Ausgangspunkt nennt Hugging Face die eigene Datenverarbeitungspipeline. Ein bösartiger Datensatz habe zwei Wege zur Codeausführung missbraucht: einen Dataset-Loader für entfernten Code sowie eine Template-Injection in einer Dataset-Konfiguration. Auf diesem Weg sei Code auf einem Verarbeitungs-Worker ausgeführt worden.
Mit diesem ersten Zugriff habe der Angreifer auf Node-Ebene eskaliert, Cloud- und Cluster-Zugangsdaten gesammelt und sich über ein Wochenende seitlich in mehrere interne Cluster bewegt. Welches Large Language Model für den Angriff verwendet wurde, ist laut Hugging Face unklar. Die Kampagne sei jedoch von einem autonomen Agenten-Framework ausgeführt worden, das „viele Tausend Einzelaktionen über einen Schwarm kurzlebiger Sandboxes hinweg“ vorgenommen habe. Die selbstmigrierende Command-and-Control-Infrastruktur sei dabei auf öffentlichen Diensten bereitgestellt worden.
Nach Angaben des Unternehmens gibt es derzeit keine Belege dafür, dass öffentliche, nutzerseitig erreichbare Modelle, Datensätze oder Spaces manipuliert wurden. Auch für eine Veränderung der eigenen Software-Lieferkette habe die Untersuchung bislang keine Hinweise erbracht. Die forensische Aufarbeitung des Vorfalls dauert nach Unternehmensangaben noch an.
Hugging Face teilte mit, die Ursache inzwischen behoben zu haben, konkret die für den Erstzugriff genutzten Pfade zur Codeausführung. Darüber hinaus setzte das Unternehmen weitere Maßnahmen zur Eindämmung und Behebung des Vorfalls um. Zusätzlich fordert Hugging Face seine Kunden auf, sämtliche Zugriffstoken zu rotieren und die jüngsten Aktivitäten in ihren Konten zu überprüfen.
Bemerkenswert ist auch, welches Modell das Unternehmen für die Forensik einsetzte. Hugging Face erklärte, auf Z.ais GLM 5.2 zurückgegriffen zu haben, ein chinesisches Open-Weight-Modell. Der Grund: Westliche Spitzenmodelle hätten Anfragen verweigert, die echte Angriffsbefehle, Exploit-Payloads und Artefakte der Command-and-Control-Infrastruktur enthielten. Deren Sicherheitsleitplanken seien angesprungen, zudem hätten diese Modelle nicht zwischen einem Angreifer und legitimer Incident Response unterscheiden können.
Das Unternehmen sieht darin eine Lücke, auf die sich Verteidiger vorbereiten sollten. Man wisse nicht, welches Modell die Agenten des Angreifers angetrieben habe, ob ein per Jailbreak entsperrtes gehostetes Modell oder ein uneingeschränktes Open-Weight-Modell. In jedem Fall sei der Angreifer an keine Nutzungsrichtlinie gebunden gewesen, während die eigene forensische Arbeit zunächst durch die Leitplanken gehosteter Modelle blockiert worden sei. Als praktische Lehre empfiehlt Hugging Face, vor einem Vorfall ein leistungsfähiges, auf der eigenen Infrastruktur betreibbares und geprüftes Modell bereitzuhalten, um Blockaden durch Sicherheitsleitplanken zu vermeiden und zu verhindern, dass Angreiferdaten und Zugangsdaten die eigene Umgebung verlassen.