Nach Darstellung von Hugging Face nutzten die Angreifer einen präparierten Datensatz, um zwei Pfade zur Codeausführung in der Datensatzverarbeitung auszunutzen. Konkret nennt das Unternehmen einen Loader für Datensätze mit Remotecode-Ausführung sowie eine Template-Injection in einer Datensatzkonfiguration. Auf diesem Weg sei Code auf einem Verarbeitungs-Worker ausgeführt worden.
Von dort aus folgten laut Hugging Face eine Eskalation auf Knotenebene, das Sammeln von Zugangsdaten und seitliche Bewegungen in weitere Bereiche der Umgebung. Der Angriff richtete sich gegen die Produktionsinfrastruktur und endete nach Unternehmensangaben mit unbefugtem Zugriff auf interne Datensätze und Dienst-Zugangsdaten.
Für die Durchführung habe die Angreiferseite ein autonomes Framework auf Basis einer agentischen Forschungsumgebung für Sicherheitsanalysen verwendet. Damit seien zehntausende Aktionen in kurzlebigen Sandboxen ausgeführt worden. Zudem hätten sich die Täter auf öffentliche Dienste gestützt, um selbstmigrierende Kommando-und-Kontroll-Funktionen bereitzustellen.
Hugging Face erklärt, auf den Vorfall weitgehend mit eigener KI reagiert zu haben. Das Unternehmen habe die für den Erstzugang missbrauchten Pfade zur Codeausführung in der Datensatzverarbeitung geschlossen, die Angreifer aus der Infrastruktur verdrängt, betroffene Knoten neu aufgebaut und alle betroffenen Zugangsdaten widerrufen und ausgetauscht.
Vorsorglich begann Hugging Face außerdem damit, Geheimnisse in größerem Umfang zu widerrufen. Hinzu kamen strengere Zulassungskontrollen, zusätzliche Schutzmechanismen sowie Verbesserungen bei Erkennung und Alarmierung.
Nach Angaben des Unternehmens wurden mehr als 17.000 Ereignisse im Zusammenhang mit dem Eindringen protokolliert. Mit agentischer Analyse habe Hugging Face den zeitlichen Ablauf des Angriffs rekonstruiert und dessen Umfang eingegrenzt. Welches LLM die Angreifer zur Automatisierung einsetzten, konnte das Unternehmen nach eigener Aussage jedoch nicht bestimmen.
Den Vorfall meldete Hugging Face den Strafverfolgungsbehörden und untersucht ihn gemeinsam mit externen Spezialisten für digitale Forensik und Cybersicherheit. Zugleich betont das Unternehmen, es gebe keine Belege für Manipulationen an öffentlichen, nutzerseitig erreichbaren Modellen, Datensätzen oder Spaces. Auch die Software-Lieferkette mit Container-Images und veröffentlichten Paketen sei als unverändert und sauber verifiziert worden.
Hugging Face ordnet den Vorfall selbst als Signal für eine neue Lage ein: Autonome, KI-gesteuerte Offensivwerkzeuge seien nicht länger nur eine theoretische Möglichkeit. Sie senkten die Kosten für breit angelegte, geduldige und mehrstufige Kampagnen und arbeiteten mit Maschinengeschwindigkeit. Der Schutz von Online-Plattformen müsse deshalb die Angriffsfläche rund um Daten und Modelle gleichrangig behandeln und KI auch in der Verteidigung einsetzen, um Schritt zu halten.