Hugging Face revela un ataque con agentes de IA

Hugging Face ha revelado una intrusión en la que un sistema autónomo ejecutó miles de acciones para entrar en su infraestructura, robar credenciales y moverse por varios clústeres internos. La compañía todavía investiga si algún dato de socios o clientes quedó afectado.

La empresa asegura que no ha encontrado indicios de manipulación en sus modelos, datasets o Spaces públicos. Tampoco detectó problemas en su cadena de suministro de software, que incluye imágenes de contenedores y paquetes publicados.

El ataque comenzó en un dataset

La entrada no estuvo en un modelo público, sino en el proceso que Hugging Face utiliza para preparar y analizar datasets. Un dataset malicioso aprovechó dos vías capaces de ejecutar código:

• Un cargador que permite ejecutar código remoto al abrir determinados datasets.
• Una inyección de plantillas en la configuración de un dataset.

El código se ejecutó en un equipo dedicado al procesamiento. Desde ahí, el atacante consiguió acceso al nivel del nodo, recopiló credenciales de servicios en la nube y del clúster, y saltó a varias partes de la infraestructura durante un fin de semana.

En la práctica, el incidente muestra por qué un archivo de datos puede ser también una puerta de entrada. Si procesas un dataset descargado de internet, no siempre estás manejando información pasiva: en algunos entornos, ese archivo puede activar instrucciones o código.

Un ataque automatizado a gran escala

Según Hugging Face, la campaña fue ejecutada por un sistema de agentes autónomos. Este tipo de herramienta divide un objetivo en muchas tareas y las ejecuta automáticamente, en lugar de depender de una persona que introduzca cada comando.

El sistema realizó decenas de miles de acciones desde una red de entornos temporales y utilizó servicios públicos para mantener su canal de control. La compañía registró más de 17.000 eventos relacionados con la actividad del atacante.

Hugging Face todavía no sabe qué modelo de lenguaje impulsaba esos agentes. Podría haber sido un modelo alojado por un proveedor y manipulado para saltarse sus restricciones, o un modelo de código abierto ejecutado sin esas limitaciones.

La diferencia importante es que el atacante no tenía que respetar ninguna política de uso. Los defensores, en cambio, sí se encontraron con límites.

La IA ayudó a detectar y entender el incidente

La intrusión fue detectada inicialmente con ayuda de un sistema de análisis basado en modelos de lenguaje. La herramienta revisa señales de seguridad y las relaciona para separar anomalías reales del ruido habitual.

Después, Hugging Face utilizó agentes de análisis para reconstruir la actividad completa, identificar indicadores de compromiso, revisar qué credenciales habían sido tocadas y distinguir acciones reales de posibles señuelos. La empresa afirma que este trabajo se completó en horas, cuando normalmente habría requerido varios días.

Al principio intentó utilizar modelos avanzados a través de APIs comerciales. No funcionó: los sistemas bloquearon solicitudes que incluían comandos de ataque, cargas de explotación y artefactos de control remoto. Sus filtros no podían diferenciar entre un equipo de respuesta ante incidentes y un atacante.

El análisis terminó ejecutándose dentro de la propia infraestructura de Hugging Face con GLM 5.2, un modelo con pesos abiertos. Así, los datos del ataque y las credenciales mencionadas en los registros no tuvieron que salir del entorno de la compañía.

Qué medidas tomó Hugging Face

La compañía afirma haber cerrado las vías de ejecución de código utilizadas para el acceso inicial, eliminado la presencia del atacante y reconstruido los nodos afectados. También revocó y sustituyó las credenciales y tokens comprometidos, además de iniciar una rotación preventiva más amplia.

Entre las medidas adicionales están:

• Controles más estrictos para aceptar cargas en los clústeres.
• Nuevas barreras de seguridad en la infraestructura.
• Alertas capaces de avisar a un responsable en cuestión de minutos.
• Una investigación con especialistas externos en informática forense.
• La notificación del incidente a las autoridades.

Hugging Face recomienda a los usuarios rotar sus tokens de acceso y revisar la actividad reciente de sus cuentas. La empresa contactará directamente con las partes afectadas si confirma que sus datos estuvieron implicados.

Para ti, la lección es concreta: los tokens antiguos, los datasets de origen dudoso y los sistemas que ejecutan código al procesar datos necesitan una revisión especial. También conviene que las organizaciones tengan preparado un modelo que puedan ejecutar en su propia infraestructura para investigar incidentes sin enviar información sensible a servicios externos.

El caso confirma que los ataques automatizados con IA ya forman parte del riesgo operativo de las plataformas digitales. A partir de ahora, proteger una infraestructura de IA no solo exige vigilar los modelos y las cuentas: también hay que tratar los datos, los pipelines de procesamiento y los agentes automáticos como superficies de ataque de primer nivel.