Бот на базе ИИ взломал Hugging Face. Hugging Face использовала ИИ, чтобы его поймать.

Ключевые моменты

• Hugging Face, крупная платформа для обмена моделями ИИ и наборами данных, подтвердила взлом части своей производственной инфраструктуры в июле 2026 года.
• Атака была проведена от начала до конца автономным агентом ИИ — программным обеспечением, которое самостоятельно планировало и выполняло тысячи действий без указаний человека на каждом шаге.
• Команда безопасности Hugging Face использовала собственные инструменты на базе ИИ для анализа более 17 000 записанных действий злоумышленника, сжав многодневную криминалистическую работу в несколько часов.
• Основные коммерческие модели ИИ заблокировали запросы защитников на проведение криминалистического анализа из-за фильтров безопасности, что заставило команду запустить анализ на самостоятельно размещаемой открытой модели GLM 5.2.
• Hugging Face не обнаружила признаков манипулирования её публичными моделями, наборами данных или пакетами программного обеспечения, но всё ещё проверяет, не были ли раскрыты данные партнёров или клиентов.

На минувшей неделе в одном из крупнейших центров ИИ в интернете произошло нечто тихо значимое. Hugging Face, платформа, где исследователи и компании обмениваются моделями ИИ и наборами данных, на этой неделе опубликовала уведомление о безопасности, подтверждающее взлом. Но не человеком, сидящим за клавиатурой, а автономным агентом ИИ — программным обеспечением, которое ставило собственные цели, самостоятельно планировало следующие шаги и продолжало работать несколько дней без участия человека.

Точкой входа был конвейер обработки данных — автоматизированная система, обрабатывающая наборы данных, загружаемые пользователями. Код злоумышленника использовал две слабости в этой системе, по сути обманув её и заставив выполнять вредоносные инструкции. С этого плацдарма агент самостоятельно повысил свои привилегии доступа, собрал учётные данные для облачных сервисов и незаметно перемещался по нескольким внутренним кластерам на протяжении целого уикэнда.

По оценкам компании, было выполнено десятки тысяч отдельных автоматизированных действий. Это не опечатка.

Должны ли пользователи Hugging Face беспокоиться?

Для большинства пользователей немедленный риск невелик, но платформа просит всех повернуть свои API-токены — личные ключи, которые предоставляют доступ к вашей учётной записи Hugging Face — как меру предосторожности. Можно сравнить это с переменой замков после взлома у соседей: вероятно, необязательно, но дешёвая страховка. Если у вас есть учётная запись, войдите, создайте новый токен и отозовите старый. Все, кто считает, что их данные были непосредственно затронуты, будут уведомлены компанией Hugging Face напрямую.

Стоит остановиться на криминалистической работе, которая раскрыла атаку. Команда безопасности использовала собственные инструменты анализа на базе ИИ для обработки полного журнала атак — более 17 000 записанных событий — и реконструировала точно то, что делал агент. Часы вместо дней.

Но возникла проблема, которую никто не предусмотрел.

Когда команда впервые загрузила необработанные данные атаки (код эксплуатации, инструкции управления и контроля, фрагменты украденных учётных данных) в передовые коммерческие модели ИИ через их API, эти модели отказались помогать. Фильтры безопасности, встроенные в сервисы поставщиков, таких как OpenAI и Anthropic, не могут различить криминалиста, изучающего атаку, и преступника, планирующего её. Запросы были заблокированы.

Команда переключилась на GLM 5.2, открытую модель, то есть модель, исходный код которой является общедоступным и может работать на ваших собственных компьютерах. Её локальный запуск позволил держать все чувствительные данные злоумышленника в стенах компании. Никакие учётные данные не были утечены в облако третьей стороны во время расследования взлома.

Hugging Face делится этой информацией с коммерческими поставщиками, чьи защиты их заблокировали, и не утверждает, что эти меры безопасности неправильны. Практический совет для любой команды безопасности: имейте под рукой мощную модель ИИ, которую вы можете запустить приватно, протестированную и готовую, до того как инцидент заставит вас задуматься об этом.

Более широкая картина вызывает дискомфорт. Полностью автономный ИИ-злоумышленник — это уже не мысленный эксперимент. Он работает на скорости машины, стоит дёшево в эксплуатации и не устаёт. Защитникам теперь нужен ИИ, работающий на той же скорости с их стороны.