Атака AI-агентів на Hugging Face: новий рубіж кібербезпеки
Кібербезпека платформ штучного інтелекту вступає в нову еру. Hugging Face, провідний майданчик для розміщення ШІ-моделей, зіткнувся з атакою, яка кардинально відрізняється від усього, що ми бачили раніше. Зловмисник, використовуючи автономну агентну систему, зумів проникнути в робочу інфраструктуру компанії, отримавши доступ до обмеженого набору внутрішніх даних та облікових записів сервісів.
Ключовою особливістю цього інциденту стало те, що атака не була спрямована на зміну публічних моделей або наборів даних — перевірка показала їхню цілісність. Натомість, ціллю стала сама інфраструктура обробки даних. Точкою входу послужив конвеєр обробки датасетів: шкідливий набір даних використав віддалений завантажувач та впровадження команд через конфігураційний шаблон, що дозволило виконати код на сервері. Після цього зловмисник підвищив привілеї, зібрав облікові дані хмарних сервісів і поширився внутрішніми мережами.
Автономна система: тисячі операцій без прямого управління
Hugging Face охарактеризувала цю кампанію як повністю керовану автономною агентною системою. Вона виконала тисячі операцій через мережу недовговічних ізольованих середовищ. Інфраструктура управління розміщувалася на публічних сервісах і могла самостійно мігрувати між ними, що робить блокування особливо складним — видалення одного елемента не зупиняє всю кампанію. Важливо підкреслити, що компанія не виключає участі людини в постановці цілей або прийнятті ключових рішень, але сам процес атаки був автоматизований.
Відповідна реакція: ШІ проти ШІ
Для розслідування інциденту Hugging Face застосувала власні ШІ-інструменти. Система аналізу аномалій на базі мовних моделей виявила загрозу, а потім ШІ-агенти були запущені для відновлення хронології подій. У журналі дій зловмисника містилося понад 17 000 записів. Агенти зіставили події, виділили ознаки компрометації та визначили зачеплені облікові дані, впоравшись із завданням за години замість кількох днів. Цікаво, що на початковому етапі комерційні ШІ-системи відмовлялися обробляти запити, не в змозі відрізнити розслідування інциденту від спроби злому. Зрештою компанія була змушена використати модель з відкритим вихідним кодом GLM 5.2 від Z.ai, розгорнуту локально, що дозволило аналізувати небезпечний вміст без блокувань.
Висновки та уроки для індустрії
Цей випадок демонструє критичне розширення поверхні атаки на ШІ-платформи. Тепер загрозу становлять не лише моделі та код, але й дані, конфігурації, завантажувачі, інструменти агентів та автоматичні конвеєри. Кожен компонент, здатний інтерпретувати зовнішній вміст, стає потенційною точкою входу. Рекомендації Hugging Face щодо заміни токенів доступу та перевірки активності акаунтів — лише тимчасовий захід.
Як аналітик, я вважаю, що ми стоїмо на порозі нової парадигми в кібербезпеці. Атаки з використанням автономних ШІ-агентів — це не майбутнє, а реальність. Індустрії необхідно терміново переглянути підходи до захисту, впроваджуючи принципи нульової довіри та розробляючи спеціалізовані інструменти для розслідування інцидентів, здатні працювати в умовах, коли противник сам є штучним інтелектом. Гравці, які не адаптуються, ризикують опинитися в становищі тих, хто наздоганяє.