La plate-forme de la communauté open source d’apprentissage machine a découvert avoir été attaquée la semaine dernière.
Une intrusion a été détectée dans une partie de l’infrastructure de production d’Hugging Face. Fait remarquable, elle a été menée de bout en bout, par un système autonome d’agents IA. L’accès non autorisé s’est circonscrit à un ensemble limité de jeux de données internes ainsi qu’à plusieurs identifiants utilisés par nos services. L’évaluation est encore en cours afin de déterminer si des données de partenaires ou de clients ont été affectées, qui serons contactés ainsi que toutes les parties concernées, comme requis. Il n’ été trouvé aucune preuve d’altération des modèles, jeux de données ou Spaces publics destinés aux utilisateurs, et notre chaîne d’approvisionnement logicielle (images de conteneurs et packages publiés) a été vérifiée comme saine.
Un déroulé nouveau
Un jeu de données malveillant a exploité deux chemins d’exécution de code dans le traitement des jeux de données (un chargeur de jeu de données à exécution de code à distance et une injection de modèle dans une configuration de jeu de données) afin d’exécuter du code sur un worker de traitement. À partir de là, l’acteur a élevé ses privilèges jusqu’à un accès au niveau du nœud, a collecté des identifiants cloud et de cluster, puis s’est déplacé latéralement dans plusieurs clusters internes au cours d’un week-end. La campagne a été menée par un framework d’agents autonomes (semblant être construit sur un banc d’essai agentique de recherche en sécurité sur un LLM encore indéterminé exécutant plusieurs milliers d’actions individuelles au sein d’un essaim de bacs à sable éphémères, avec un commandement et contrôle auto-migrant hébergé sur des services publics. Cela correspond au scénario de « l’attaquant agentique » que l’industrie anticipe depuis quelque temps.
L’attaque a d’abord été mise en évidence grâce à une détection assistée par l’IA. Le pipeline de détection d’anomalies de la palte-forme utilise un tri fondé sur des LLM appliqué à la télémétrie de sécurité afin de distinguer les vrais signaux du bruit quotidien, et c’est la corrélation de ces signaux qui a révélé la compromission.
Pour comprendre ce qu’avait fait un essaim de dizaines de milliers d’actions automatisées, il a été exécuté des agents d’analyse pilotés par des LLM sur l’intégralité du journal des actions de l’attaquant, composé de plus de 17 000 événements enregistrés. Cela nous a permis de reconstruire la chronologie, d’extraire les indicateurs de compromission, de cartographier les identifiants touchés et de distinguer l’impact réel des activités leurres.
