Αυτόνομος AI πράκτορας χάκαρε τη Hugging Face, λέει η εταιρεία

Το μεγαλύτερο «αποθετήριο» της τεχνητής νοημοσύνης στον κόσμο, η πλατφόρμα όπου εκατομμύρια developers ανεβάζουν μοντέλα και datasets, παραδέχτηκε ότι κάποιος μπήκε στα εσωτερικά της συστήματα. Το πραγματικά ενοχλητικό δεν είναι το «ότι», αλλά το «πώς». Σύμφωνα με την ίδια την εταιρεία, την επίθεση δεν την έτρεξε άνθρωπος με έναν AI-βοηθό δίπλα του, αλλά ένα αυτόνομο σύστημα AI πρακτόρων που έκανε μόνο του όλη τη δουλειά, από την πρώτη πόρτα μέχρι την κλοπή κλειδιών.

Στην ανακοίνωσή της στις 16 Ιουλίου 2026, η Hugging Face λέει ότι εντόπισε και ανέκοψε εισβολή σε τμήμα της παραγωγικής της υποδομής, με μη εξουσιοδοτημένη πρόσβαση σε περιορισμένα εσωτερικά datasets και σε αρκετά credentials υπηρεσιών (Hugging Face). Ζήτησε από τους χρήστες προληπτική αλλαγή των access tokens τους, δηλαδή των ψηφιακών αντικλειδιών που αφήνουν scripts και εφαρμογές να μπαίνουν χωρίς κωδικό, και έλεγχο της πρόσφατης δραστηριότητας (CTO at NCSC). Δεν βρήκε, λέει, αλλοίωση σε δημόσια μοντέλα ή Spaces. Το αν αγγίχτηκαν δεδομένα πελατών παρέμενε υπό διερεύνηση.

Πώς ένα «αρχείο» γίνεται πόρτα

Για να καταλάβει κανείς την επίθεση, βοηθά μια εικόνα. Ένα dataset σε τέτοιες πλατφόρμες δεν είναι σκέτη «σακούλα με αρχεία». Συχνά συνοδεύεται από έναν loader και ένα configuration, δηλαδή οδηγίες για το πώς θα διαβαστεί και θα επεξεργαστεί αυτόματα. Σκεφτείτε το σαν δέμα σε κέντρο διαλογής: ο loader είναι το πρωτόκολλο ανοίγματος, η ετικέτα λέει «βάλ' το στο ράφι 4». Εδώ η ετικέτα κατάφερε να περάσει κρυφές εντολές: «άνοιξε την εσωτερική πόρτα, πάρε το κλειδί, μπες και στις διπλανές αποθήκες» (Hugging Face). Ο κακόβουλος «φάκελος» έβαλε τον worker να τρέξει ξένο κώδικα, μάζεψε credentials και κινήθηκε πλευρικά σε άλλα clusters. Το όριο ανάμεσα σε «περιεχόμενο» και «υποδομή» αποδείχθηκε επικίνδυνα λεπτό.

Τα φρένα ασφαλείας φρέναραν τους αμυνόμενους

Το πραγματικά ανατρεπτικό, όμως, δεν ήταν μόνο ο τρόπος της εισβολής. Ήταν αυτό που συνέβη μετά. Για να ανασυνθέσουν τι έγινε, οι αμυνόμενοι έπρεπε να διαβάσουν πάνω από 17.000 καταγεγραμμένα events από το log του επιτιθέμενου. Όταν προσπάθησαν να τα περάσουν σε εμπορικά, hosted μοντέλα αιχμής για να ξεχωρίσουν τις πραγματικές κινήσεις από τον θόρυβο, τα αιτήματα μπλοκαρίστηκαν. Τα φίλτρα ασφαλείας είδαν αληθινά exploit payloads, εντολές επίθεσης και artifacts command-and-control, και αρνήθηκαν (Hugging Face, AI Weekly).

Το φίλτρο είδε «επικίνδυνο υλικό», όχι το πλαίσιο. Είναι σαν να κατάσχεις μαζί το όπλο του δράστη και το αποδεικτικό υλικό της αστυνομίας: ο πάροχος δεν ξεχωρίζει αν το exploit το στέλνει επιτιθέμενος ή αναλυτής που προσπαθεί να το αποκρυπτογραφήσει (UnderCode, LinkedIn). Το αποτέλεσμα ήταν μια ασυμμετρία που πονάει. Ο αυτόνομος επιτιθέμενος δεν δεσμεύεται από καμία πολιτική χρήσης, ενώ ο αμυνόμενος που στηρίζεται σε εμπορικά APIs βρέθηκε με δεμένα χέρια. Η Hugging Face λέει ότι λύθηκε το πρόβλημα στρεφόμενη σε ένα self-hosted, open-weight μοντέλο (το GLM 5.2) μέσα στη δική της υποδομή, χωρίς εξωτερικές αρνήσεις και με τα ευαίσθητα logs να μη φεύγουν ποτέ έξω (GLM 5.2 guide).

Τι στέκει και τι όχι

Ας κρατήσουμε τις αποστάσεις. Το «end-to-end αυτόνομο» και τα 17.000 events είναι εταιρικός ισχυρισμός. Δεν υπάρχουν δημοσιευμένα raw logs, timeline ή ανεξάρτητη forensic αναφορά που να τα επιβεβαιώνει, και σχολιαστές σημειώνουν ακριβώς αυτό το κενό (YouTube analysis). Ούτε γνωρίζουμε ποιο μοντέλο ή framework φέρεται να χρησιμοποίησε ο επιτιθέμενος. Όσο για το «πρώτη στον κόσμο» τέτοια επίθεση, τα στοιχεία στηρίζουν μόνο τη στενή εκδοχή: ίσως είναι η πρώτη που μεγάλη πλατφόρμα περιγράφει δημόσια με αυτούς τους όρους, όχι αποδεδειγμένα η πρώτη που συνέβη.

Το μοτίβο, πάντως, δεν βγαίνει από το πουθενά. Πειραματικές μελέτες έδειξαν ήδη ότι agentic malware μπορεί να προσαρμόζει γνωστές διαδρομές επίθεσης και να εξαπλωθεί σε 62% ενός προσομοιωμένου δικτύου 33 μηχανημάτων μέσα σε μία εβδομάδα, κάτι που είχαμε καλύψει ως εργαστηριακό σενάριο (To Brief). Η σημασία της Hugging Face είναι ότι η ίδια ιδέα αρχίζει να εμφανίζεται σε περιγραφή πραγματικού περιστατικού.

Το πρακτικό δίδαγμα δεν είναι «βγάλτε τα φίλτρα ασφαλείας». Είναι ότι η άμυνα δεν μπορεί να εξαρτάται αποκλειστικά από hosted εργαλεία που δεν ξεχωρίζουν τον αναλυτή από τον εισβολέα. Και ότι, όταν ο επιτιθέμενος αυτοματοποιεί την προσαρμογή του, η ανίχνευση μετακινείται από το «ποια υπογραφή κουβαλάει» στο «ποιος ανοίγει ασυνήθιστα πολλές πόρτες αφού μπει μέσα».