Новини криптоміра

Платформа для розробки та хостингу ШІ-моделей Hugging Face розкрила деталі безпрецедентної атаки, під час якої зловмисники задіяли автономну агентну систему. Інцидент, що торкнувся частини робочої інфраструктури, знаменує собою новий етап в еволюції кіберзагроз: тепер атаки можуть проводитися не людиною, а програмним агентом, здатним самостійно приймати рішення та переміщуватися мережами.

Сценарій атаки: від датасету до хмарних кластерів

Точкою входу став конвеєр обробки наборів даних. Шкідливий датасет використовував два механізми для виконання коду: віддалений завантажувач та ін'єкцію команд через шаблон конфігурації. Запустивши код на сервері обробки, атакуючий підвищив привілеї до вузла інфраструктури, зібрав облікові дані хмарних сервісів та кластерів, після чого перемістився у внутрішні середовища. Важливо зазначити, що це не класичне завантаження зараженого файлу — набір даних слугував засобом доставки команд у систему, яка мала автоматично аналізувати вміст.

Hugging Face оперативно усунула вразливості, перебудувала скомпрометовані вузли та відкликала порушені ключі. Компанія також розпочала масштабну заміну секретів та посилила політики доступу до кластерів.

Автономні агенти: тисячі операцій без контролю людини

Кампанія, за даними Hugging Face, керувалася автономною агентною системою від початку до кінця. Вона виконала тисячі операцій через мережу недовго існуючих ізольованих середовищ. Інфраструктура управління розміщувалася на публічних сервісах і могла самостійно мігрувати між ними, що надзвичайно ускладнює блокування: видалення одного елемента не зупиняє всю кампанію.

При цьому компанія не стверджує, що атака пройшла без участі людини. Невідомо, хто поставив початкову мету, контролював систему та приймав ключові рішення. Також не розкрито, чи працювали агенти через зламану комерційну модель або систему з відкритими вагами.

ШІ в захисті: аномалії та розслідування

Інцидент виявила система аналізу аномалій Hugging Face, яка використовує мовні моделі для первинної обробки журналів безпеки. Для відновлення хронології компанія запустила ШІ-агентів над повним журналом дій зловмисника, що містить понад 17 000 записів. Агенти зіставили події, виділили ознаки компрометації та визначили порушені облікові дані. За оцінкою Hugging Face, на цю роботу пішли години замість кількох днів.

Цікаво, що на першому етапі компанія намагалася використовувати передові моделі через комерційні API. Однак захисні обмеження провайдерів заблокували запити, оскільки системи не змогли відрізнити розслідування інциденту від спроби отримати допомогу у зламі. Hugging Face не назвала сервіси, які відмовили в обробці.

Після відмов розслідування перенесли на власну інфраструктуру, використовуючи модель GLM 5.2 від Z.ai з відкритими вагами (ліцензія MIT). Це дозволило аналізувати небезпечний вміст без автоматичного блокування та не покидати внутрішнє середовище. Однак, як справедливо зазначають у компанії, відкрита модель сама по собі не безпечніша — відповідальність за інфраструктуру та управління доступом лягає на організацію.

Висновки та рекомендації

Інцидент показав, що захищати необхідно не лише моделі та код. Небезпеку становлять дані, конфігурації, завантажувачі, інструменти агентів та автоматичні конвеєри. Кожен компонент, здатний інтерпретувати зовнішній вміст або запускати команди, стає потенційною точкою входу. Особливо високий ризик у систем, де агент має доступ до хмарних ресурсів та облікових даних.

Hugging Face рекомендувала клієнтам замінити токени доступу та перевірити нещодавню активність облікового запису. Прямих доказів компрометації публічних моделей або користувацьких наборів даних поки немає, але остаточна оцінка наслідків не завершена.

Думка експерта: Ця атака — тривожний дзвінок для всієї індустрії. Ми вступаємо в еру, де атакуючим може бути не людина, а автономний агент, здатний діяти в масштабах, недоступних хакеру-одинаку. Принцип нульової довіри (zero trust) для агентів, про який раніше говорили в Anthropic, стає не рекомендацією, а необхідністю. Платформам, що працюють зі ШІ, доведеться переглянути свої моделі загроз, включивши до них атаки, ініційовані самими ж ШІ-системами.