Un agente di intelligenza artificiale autonomo ha compromesso l’infrastruttura di Hugging Face sfruttando vulnerabilità nella pipeline dei dataset. Questo incidente rappresenta uno degli eventi più significativi negli ultimi anni nel panorama della cybersicurezza applicata all’intelligenza artificiale.

Hugging Face, piattaforma leader a livello mondiale per lo sviluppo e la distribuzione di modelli AI open source, ha confermato che gli aggressori sono riusciti ad accedere ai propri sistemi sfruttando un sistema basato su agenti di intelligenza artificiale autonomi. Hugging Face ospita decine di migliaia di modelli di machine learning sviluppati da aziende, università e comunità open source, oltre a dataset, demo interattive e strumenti utilizzati quotidianamente da più di 50.000 organizzazioni.

Secondo la ricostruzione dell’azienda, gli aggressori hanno sfruttato un dataset appositamente modificato per innescare due vulnerabilità di esecuzione del codice all’interno della pipeline di elaborazione dati. Una volta ottenuto l’accesso a un nodo incaricato dell’elaborazione, il gruppo ha sottratto credenziali cloud e di cluster, utilizzandole successivamente per muoversi lateralmente tra diversi sistemi interni.

L’aspetto particolarmente innovativo dell’incidente risiede nella natura dell’attacco. Hugging Face descrive la campagna come orchestrata da un framework di agenti autonomi, in grado di eseguire migliaia di operazioni indipendenti distribuite su una moltitudine di sandbox temporanee. L’infrastruttura di comando e controllo sarebbe stata continuamente riconfigurata utilizzando servizi pubblici, rendendo estremamente complessa la ricostruzione dell’intera catena operativa.

In pratica, si tratta di un sistema capace di prendere decisioni, adattarsi all’ambiente circostante e modificare dinamicamente il proprio comportamento durante l’attacco. Questo concetto è noto come “attaccante agentico”, una categoria di minacce che negli ultimi mesi è stata spesso citata dagli analisti come possibile evoluzione della cybercriminalità alimentata dai grandi modelli linguistici.

Al momento, non è stato ancora possibile identificare quale modello AI abbia alimentato gli agenti utilizzati dagli aggressori. Hugging Face ha spiegato di non sapere se sia stato impiegato un modello commerciale modificato per aggirarne le limitazioni, oppure una soluzione open weight priva di restrizioni. Questa incertezza evidenzia la crescente difficoltà nel distinguere le capacità offensive dei diversi modelli AI, man mano che questi strumenti diventano accessibili a un pubblico sempre più ampio.

L’indagine è tuttora in corso e Hugging Face non ha ancora stabilito se dati appartenenti a clienti o partner siano stati effettivamente compromessi. Qualora emergessero evidenze in tal senso, l’azienda ha assicurato che i soggetti coinvolti saranno contattati direttamente. Ad in queste ore, non sono stati rilevati segnali di alterazione dei modelli pubblici, dei dataset disponibili sulla piattaforma o degli ambienti Spaces utilizzati dagli sviluppatori. Anche la supply chain software è stata verificata e, secondo quanto dichiarato dalla società, non presenta tracce di compromissione.

La risposta all’incidente si è articolata su più livelli. Gli sviluppatori hanno eliminato i percorsi vulnerabili sfruttati dagli aggressori, ricostruito i nodi compromessi, revocato e rigenerato tutte le credenziali interessate e implementato sistemi di rilevamento più efficaci per individuare comportamenti anomali. Parallelamente, sono stati coinvolti esperti forensi esterni e le autorità competenti, con l’obiettivo di ricostruire con precisione la dinamica dell’attacco e valutarne l’impatto reale.

Tra gli aspetti più interessanti emersi dall’analisi pubblicata dall’azienda, c’è una riflessione destinata a far discutere la comunità della sicurezza informatica. Hugging Face ha spiegato che, durante le prime attività investigative, alcuni modelli AI ospitati su piattaforme commerciali hanno limitato le analisi a causa dei rispettivi meccanismi di protezione. Per questo motivo, l’azienda ha eseguito l’analisi forense sulla propria infrastruttura utilizzando GLM 5.2, un modello cinese a pesi aperti. “Ciò ha comportato un secondo vantaggio: nessun dato relativo agli autori degli attacchi, né alcuna delle credenziali a cui facevano riferimento, è uscito dal nostro ambiente”, si legge nel report.

In via precauzionale, Hugging Face invita tutti gli utenti a ruotare i token di accesso, verificare le attività recenti dei propri account e monitorare eventuali comportamenti sospetti. Questa misura prudenziale riflette la volontà di ridurre qualsiasi rischio residuo mentre le indagini proseguono.

Pur essendo il primo episodio ufficialmente attribuito a un agente AI autonomo, Hugging Face non è nuova a problematiche di sicurezza. Già nel 2024 era stata costretta a revocare alcune credenziali di autenticazione dopo una compromissione del servizio Spaces, raccomandando l’adozione di token con privilegi granulari. Negli ultimi anni, inoltre, ricercatori e aziende di sicurezza hanno documentato numerosi tentativi di sfruttare Hugging Face per distribuire modelli di machine learning malevoli, malware specializzati nel furto di informazioni e perfino migliaia di varianti di codice dannoso destinate ai dispositivi Android.

L’episodio appena emerso segna un salto qualitativo e dimostra che l’AI può essere trasformata in uno strumento offensivo capace di automatizzare attacchi complessi con un livello di adattabilità finora inedito.