Hugging Face: nuovi dettagli sull'attacco agentico

Hugging Face ha pubblicato nuovi dettagli sull’intrusione nei suoi sistemi da parte di un agente AI basato su due modelli di OpenAI. L’azienda di New York ha descritto la sequenza degli eventi e fornito utili informazioni che possono servire per rilevare simili attacchi in futuro. OpenAI ha spiegato come i modelli AI hanno aggirato la sanbox (ambiente di test isolato).

Dettagli sull’intrusione agentica

L’incidente di sicurezza è avvenuto durante la valutazione di GPT-5.6 Sol e un altro modello in sviluppo mediante ExploitGym, un benchmark che testa le capacità di trovare e sfruttare vulnerabilità software. L’agente ha ipotizzato che Hugging Face potesse ospitare le soluzioni di tale benchmark. In pratica, l’obiettivo dell’agente era falsificare la valutazione.

L’attacco è avvenuto in due fasi. L’agente ha innanzitutto aggirato la sandbox di OpenAI sfruttando vulnerabilità zero-day di Artifactory, un package registry cache proxy di JFrog e ottenendo l’accesso a Internet. L’agente ha quindi usato un codice pubblicato sulla piattaforma di Modal Labs che permette di eseguire comandi root/admin e sfruttare la sandbox di Modal Labs per lanciare l’attacco.

OpenAI spiega che i modelli hanno usato le credenziali compromesse di quattro account di quattro servizi, uno dei quali era quasi sicuramente quello di Modal Labs. L’agente ha successivamente sfruttato due vettori di iniezione per accedere ai server di Hugging Face ed eseguire codice arbitrario per raggiungere lo scopo prefissato, ovvero trovare le soluzioni al benchmark ExploitGym.

L’azienda di New York ha pubblicato la timeline dell’attacco effettuato tra il 9 e 13 luglio. Hugging Face ha tentato di usare Claude Opus e Fable durante l’analisi forense, ma entrambi hanno bloccato i prompt. I dettagli dell’attacco sono stati invece forniti dal modello open source GLM-5.2 di Z.ai.

I modelli AI possono eseguire migliaia di azioni offensive in poche ore. Un’analisi umana è praticamente impossibile, quindi i modelli AI servono anche per rilevare e bloccare gli attacchi. Ecco perché molte aziende non vogliono il ban dei modelli open source cinesi, come GLM-5.2 di Z.ai.