„Hugging Face“ atskleidė ataką, kurią nuo pradžios iki galo vykdė autonominis AI agentas

Liepos 16 d. „Hugging Face“ — de facto pasaulinė AI modelių ir duomenų rinkinių saugykla, iš kurios kasdien traukia modelius milijonai kūrėjų, tarp jų ir Lietuvos komandos — paskelbė nepatogų pranešimą: per savaitgalį jų vidinę infrastruktūrą įsilaužė užpuolikas. Įdomiausia ne pats faktas, o tai, kas jį įvykdė. Bendrovės vertinimu, visą kampaniją nuo pradžios iki galo valdė ne žmogus prie klaviatūros, o autonominis AI agentų karkasas.

Tai nebe teorija iš saugumo konferencijų slaidų. „Hugging Face“ tiesiai įvardija, kad incidentas atitinka „agentinio užpuoliko“ scenarijų, kurį pramonė prognozavo pastaruosius metus — kai atakos žingsnius (žvalgybą, eskalaciją, judėjimą tinkle) autonomiškai planuoja ir vykdo dirbtinis intelektas, o ne operatorius rankomis.

Kaip agentas prasibrovė

Įėjimo taškas — banaliai AI'ui būdingas: kenkėjiškas duomenų rinkinys. Užpuolikas pasinaudojo dviem kodo vykdymo spragomis duomenų apdorojimo grandinėje: nuotolinio kodo duomenų rinkinio įkėlikliu (remote-code loader) ir šablono injekcija duomenų rinkinio konfigūracijoje (template injection). Abu keliai leido paleisti savo kodą tiesiai ant apdorojimo darbuotojo (processing worker) — mašinos, kuri „nekaltai“ ruošia duomenis modelių treniravimui.

Nuo ten scenarijus jau klasikinis, tik greitas: agentas pasikėlė iki mazgo lygio prieigos (node-level access), surinko debesijos ir klasterio prisijungimo duomenis ir per savaitgalį šonu nukeliavo (lateral movement) į kelis vidinius klasterius. Visa tai — daugybe tūkstančių atskirų veiksmų, išbarstytų po trumpaamžių „sandbox“ aplinkų spiečių, su savaime persikeliančiu valdymo kanalu (command-and-control), paslėptu ant viešų paslaugų. Kuris konkrečiai kalbos modelis suko šį karkasą, „Hugging Face“ kol kas neįvardija.

Būtent tempas ir mastelis skiria tokią ataką nuo žmogaus. Žmogus pavargsta, daro pauzes, klysta. Agentų spiečius dirba be perstojo, lygiagrečiai zonduoja dešimtis kelių ir nesustoja per naktį — kaip tik tada, kai budinčių inžinierių mažiausiai.

AI prieš AI: kaip vis dėlto pastebėjo

Ironiška, bet ataką aptiko taip pat dirbtinis intelektas. „Hugging Face“ anomalijų aptikimo sistema naudoja LLM paremtą triažą — kalbos modelis pirminiame etape peržiūri saugumo telemetriją ir atskiria tikrus signalus nuo kasdienio triukšmo, kurio tokio masto platformoje yra milžiniška. Būtent tas filtras iškėlė įtartiną elgesį į paviršių.

Dar įspūdingesnė forensika. Kad suprastų, ką užpuolikas nuveikė, komanda paleido analizės agentus per visą veiksmų žurnalą — daugiau nei 17 000 užfiksuotų įvykių — naudodama atviro svorio modelį GLM 5.2, sukamą savo pačių infrastruktūroje. Rezultatas, kuriam anksčiau būtų prireikę dienų, buvo gautas per valandas. Kitaip tariant, ir puolime, ir gynyboje pagrindinis darbuotojas buvo tas pats — AI agentas.

Ką realiai pavogė

Gera žinia naudotojams: „Hugging Face“ teigia neradusi jokių įrodymų, kad būtų paliesti vieši modeliai, duomenų rinkiniai ar „Spaces“ arba kad būtų užkrėsta programinės įrangos tiekimo grandinė. Tai svarbu, nes didžiausia baimė tokiais atvejais — kad kas nors tyliai įterps užpakalines duris į populiarų modelį, kurį paskui parsisiųs tūkstančiai įmonių.

Bloga žinia: užpuolikas pasiekė vidinius duomenų rinkinius ir paslaugų prisijungimo duomenis (service credentials). Todėl bendrovė ragina visus naudotojus pasikeisti prieigos tokenus (access tokens) ir peržiūrėti paskutinę paskyros veiklą. Poveikio partnerių ir klientų duomenims vertinimas dar tęsiasi — tad tai kol kas neužverta byla.

Kodėl tai svarbu — ir Lietuvai

„Hugging Face“ nėra „dar viena“ svetainė. Tai centrinė AI ekosistemos aikštė, per kurią teka didžioji dalis atvirų modelių ir duomenų. Kai tokio mazgo vidų per savaitgalį apžiūri autonominis agentas, kiekvienas, kas pipeline'e turi eilutę „pull iš Hugging Face“, turi pagrindą sunerimti — o tokių Lietuvos produktų ir startuolių daugėja.

Keli praktiški dalykai, kuriuos šis incidentas išryškina:

1. Duomenų rinkinys — tai kodas. Parsisiųsti svetimą „dataset“ su automatiniu įkėlikliu saugumo prasme prilygsta paleisti svetimą skriptą. Nepatikimų rinkinių apdorojimą reikia izoliuoti (sandbox), o ne leisti bendrame darbiniame mazge.
2. Rotuokite tokenus. Jei jūsų CI/CD ar produktas naudoja „Hugging Face“ tokenus — pakeiskite juos dabar ir peržiūrėkite prieigos žurnalus, net jei jūsų paskyra tiesiogiai nepaminėta.
3. Gynyba jau nespėja rankomis. 17 000 įvykių per valandas žmogaus komanda nebeperžiūri. „AI prieš AI“ nustoja būti šūkiu ir tampa realia saugumo operacijų (SOC) būtinybe.

Platesnis paveikslas nepatogus: agentiniai užpuolikai pinga ir demokratizuojasi taip pat greitai, kaip ir naudingi AI įrankiai. Tas pats atviras svoris, kuris leidžia Lietuvos įmonei lokaliai pasileisti galingą modelį be „OpenAI“ sąskaitos, leidžia ir užpuolikui sukti neribotą, sunkiai sekamą atakų agentą savo serveryje. „Hugging Face“ atvejis parodo abi šios monetos puses viename incidente — ir tai, ko gero, tik pirmas garsesnis iš daugelio panašių, kuriuos dar išgirsime.