Hugging Face ha confirmado una intrusión en parte de su infraestructura de producción que permitió a un atacante ejecutar código dentro del canal de procesado de datasets, escalar privilegios y moverse por varios clústeres internos durante un fin de semana. El incidente, que la empresa atribuye a un sistema de agente autónomo, resultó en acceso no autorizado a un conjunto limitado de datasets internos y a varias credenciales usadas por servicios de la plataforma.
El punto de entrada fue un dataset malicioso que activó dos vías distintas para lograr ejecución de código en el pipeline: un loader de datasets que permitía ejecutar código de forma remota y un vector de inyección de plantilla en la configuración del propio dataset. A partir de esto, el atacante elevó el nivel de acceso hasta el nodo, recopiló credenciales de nube y del clúster, y realizó movimiento lateral entre entornos internos.
Hugging Face sostiene que no ha encontrado evidencias de manipulación de modelos, datasets o Spaces públicos orientados a usuarios, ni señales de alteración en imágenes de contenedores o paquetes publicados. La compañía mantiene el compromiso de avisar de forma directa si confirma afectación a información de partners o clientes.
La respuesta combinó contención y limpieza: se cerraron las rutas de ejecución de código utilizadas en el acceso inicial, se reconstruyeron los nodos comprometidos, y se revocaron y rotaron credenciales y tokens. También se endurecieron los controles de admisión en los clústeres para reducir la probabilidad de que artefactos similares vuelvan a colarse por el pipeline.
El análisis forense procesó más de 17.000 eventos del atacante con agentes de análisis basados en LLM para reconstruir la cronología, extraer indicadores y localizar credenciales afectadas. La investigación terminó con un modelo open weight ejecutado en infraestructura propia, después de que modelos comerciales bloquearan parte del trabajo por sus salvaguardas al manejar comandos y artefactos reales de ataque.
Para usuarios y empresas, la recomendación práctica es inmediata: rotar los tokens de acceso de Hugging Face, sobre todo los integrados en CI/CD, automatizaciones o integraciones, y revisar el historial reciente en busca de usos inesperados. También conviene inventariar secretos que dependan de esos tokens, desde variables de entorno hasta gestores de secretos y credenciales incrustadas en repositorios y pipelines, y aplicar mínimo privilegio para limitar el alcance del daño si algo se filtra.
El caso deja una lección para el ecosistema de IA: la superficie de ataque no acaba en el modelo. Los pipelines de datos y el procesado de datasets se han convertido en una pieza crítica, y cualquier atajo que permita ejecutar código o interpretar plantillas puede convertirse en una vía hacia credenciales y sistemas internos. Reforzar validaciones, monitorizar el uso de tokens con alertas por patrones anómalos y preparar capacidad de forense asistida por IA en entorno propio se perfilan como medidas defensivas razonables.
Con Información de unaaldia.hispasec.com
