Ein KI-Bot brach in Hugging Face ein. Hugging Face nutzte KI, um ihn zu fassen.
Die KI-Forschungsplattform offenbarte einen Angriff in Echtzeit, der vollständig von autonomer Software durchgeführt wurde, und der Vorfall enthüllte eine Blindstelle, die jedes Unternehmen, das sich auf KI-Sicherheitstools verlässt, verstehen muss.
Wichtigste Punkte
- Hugging Face, eine große Plattform zum Teilen von KI-Modellen und Datensätzen, bestätigte einen Eindringling in Teile ihrer Produktionsinfrastruktur im Juli 2026.
- Der Angriff wurde durchgehend von einem autonomen KI-Agent durchgeführt – Software, die tausende Schritte eigenständig plante und ausführte, ohne dass ein Mensch jeden Schritt lenkte.
- Das Sicherheitsteam von Hugging Face nutzte seine eigenen KI-Tools, um mehr als 17.000 aufgezeichnete Aktionen des Angreifers zu analysieren und komprimierte tage lange forensische Arbeit auf wenige Stunden.
- Mainstream-KI-Modelle blockierten die Forensik-Abfragen der Verteidiger wegen Sicherheitsfiltern und zwangen das Team, die Analyse auf ein selbst gehostetes Open-Model namens GLM 5.2 auszuführen.
- Hugging Face fand keine Hinweise darauf, dass seine öffentlichen Modelle, Datensätze oder Softwarepakete manipuliert wurden, prüft aber weiterhin, ob Daten von Partnern oder Kunden offengelegt wurden.
Etwas Bedeutsames ereignete sich letzte Woche stillschweigend in einem der größten KI-Zentren des Internets. Hugging Face, die Plattform, auf der Forscher und Unternehmen KI-Modelle und Datensätze teilen, veröffentlichte diese Woche eine Sicherheitsmitteilung und bestätigte, dass es gehackt worden war. Nicht von einer Person an einer Tastatur, sondern von einem autonomen KI-Agent – Software, die sich ihre eigenen Ziele setzte, ihre nächsten Schritte selbst schrieb und tagelang ohne menschliche Eingabe weitermachte.
Der Einstiegspunkt war die Datenverarbeitungspipeline, das automatisierte System, das Datensätze von Nutzern verarbeitet. Der Code des Angreifers missbrauchte zwei Schwachstellen dort und täuschte das System im Grunde, um bösartige Anweisungen auszuführen. Von dieser Position aus eskalierte der Agent seine eigenen Zugriff, plünderte Login-Anmeldedaten für Cloud-Services und bewegte sich über ein ganzes Wochenende hinweg stillschweigend über mehrere interne Cluster.
Das Unternehmen schätzt, dass zehntausende einzelner automatisierter Aktionen ausgeführt wurden. Das ist kein Tippfehler.
Sollten sich Hugging-Face-Nutzer Sorgen machen?
Für die meisten Nutzer ist das unmittelbare Risiko niedrig, aber die Plattform bittet jeden, vorsorglich ihre API-Token zu rotieren – die persönlichen Schlüssel, die Zugriff auf dein Hugging-Face-Konto gewähren. Stell dir das so vor wie einen Schlossaustausch nach einem Einbruch bei einem Nachbarn: wahrscheinlich unnötig, aber günstiger Versicherungsschutz. Falls du ein Konto hast, melde dich an, generiere einen neuen Token und widerrufe den alten. Jeder, der glaubt, dass seine Daten direkt betroffen waren, wird von Hugging Face direkt kontaktiert.
Die forensische Arbeit, die den Angriff entwirrte, verdient eine Pause. Das Sicherheitsteam nutzte seine eigenen KI-Analyse-Tools, um das vollständige Angriffseingabebuch mit über 17.000 aufgezeichneten Ereignissen zu verarbeiten und genau nachzuvollziehen, was der Agent tat. Stunden statt Tage.
Aber es gab eine Hürde, die niemand geplant hatte.
Als das Team erste rohe Angriffsdaten (Exploit-Code, Command-and-Control-Anweisungen, gestohlene Anmeldedaten-Fragmente) in Frontier-KI-Modelle über ihre APIs einspeiste, weigerten sich diese Modelle zu helfen. Die in Services von Anbietern wie OpenAI und Anthropic eingebauten Sicherheitsfilter können nicht unterscheiden zwischen einem forensischen Analysten, der einen Angriff untersucht, und einem Kriminellen, der einen plant. Die Anfragen wurden blockiert.
Das Team wechselte zu GLM 5.2, einem Open-Weight-Modell – ein Modell mit öffentlich verfügbarem Code, das auf deinen eigenen Computern ausgeführt werden kann. Die interne Ausführung hielt alle sensitiven Angreiferdaten innerhalb ihrer eigenen Mauern. Keine Anmeldedaten liefen an die Cloud eines Drittanbieters, während die Verletzung untersucht wurde.
Hugging Face teilt dieses Feedback mit den kommerziellen Anbietern, deren Schutzmaßnahmen sie blockierten, und behauptet nicht, dass diese Sicherheitsmaßnahmen falsch sind. Der praktische Rat für jedes Sicherheitsteam: Verfüge über ein leistungsstarkes KI-Modell, das du privat betreiben kannst, getestet und bereit, bevor ein Vorfall die Frage erzwingt.
Das größere Bild ist unbequem. Ein vollständig autonomer KI-Angreifer ist kein Gedankenexperiment mehr. Es läuft mit Maschinengeschwindigkeit, kostet wenig zu betreiben und hat keine Ermüdung. Verteidiger brauchen jetzt KI, die auf ihrer Seite mit der gleichen Geschwindigkeit läuft.
