Hugging Face、自律型AIエージェントによる本番インフラへの侵入を公表

侵入の起点はデータ処理パイプラインだった。悪意あるデータセットが、リモートコード実行型のデータセットローダーと、データセット設定内のテンプレートインジェクションという2つのコード実行経路を悪用し、処理ワーカー上でコードを実行した。その後、攻撃者はノードレベルのアクセスへ権限を昇格し、クラウドとクラスタの認証情報を収集して、週末のうちに複数の内部クラスタへ横展開した。攻撃はエージェント型のセキュリティ研究用ハーネスをベースとみられる自律エージェントフレームワークが実行し、短命なサンドボックス群で数千件の個別アクションを行った。使われた大規模言語モデル（LLM）は不明とされている。

対応として、初期侵入に使われたコード実行経路の封鎖、影響クラスタからの攻撃者の排除とノードの再構築、認証情報とトークンの失効・ローテーション、クラスタの入場制御の強化、高重大度シグナルが数分で担当者に通知される検知体制の改善を行った。外部のフォレンジック専門家と調査を進め、法執行機関にも報告済みである。パートナーや顧客のデータへの影響は評価中で、該当者には直接連絡するという。ユーザーには、アクセストークンのローテーションとアカウントの最近のアクティビティ確認を勧めている。

検知はLLMベースのトリアージを使った異常検知パイプラインで、シグナルの相関から侵害が判明した。17,000件超の攻撃者の操作ログは、LLM駆動の解析エージェントで調べ、タイムライン再構築、侵害指標の抽出、触れられた認証情報の特定、囮活動との区別を行った。通常なら数日かかる作業を数時間で終えたという。

当初は商用APIの最先端モデルを使ったが、攻撃コマンドやエクスプロイトのペイロードを大量に送る必要があり、提供側の安全ガードレールにブロックされた。そこで自社インフラ上のオープンウェイトモデル zai-org/GLM-5.2 で解析し、攻撃者のデータや参照された認証情報を環境外に出さずに済んだ。Hugging Faceは、防御側が事前に自前で動かせる有能なモデルを検証・準備しておくべきだと述べる一方、ホスト型モデルの安全対策そのものを否定するものではなく、関係プロバイダにフィードバックしているとしている。