Hugging Face, qui exploite l'une des plus grandes plateformes d'hébergement et de développement de modèles d'IA, a divulgué les détails d'une attaque contre une partie de son infrastructure de production. Selon elle, l'attaquant a eu accès à un ensemble limité de données internes et à plusieurs informations d'identification de service.
L'entreprise n'a trouvé aucune preuve de changements dans les modèles, ensembles de données ou applications publics de Spaces. L’examen des images des conteneurs et des progiciels publiés n’a pas non plus révélé d’interférence dans la chaîne d’approvisionnement. Cependant, Hugging Face n'a pas encore déterminé si les données des clients et des partenaires étaient affectées, ni révélé l'identité de l'attaquant ni identifié le modèle de langage qu'il a utilisé.
Où a commencé l’attaque ?
Le point d’entrée initial était le pipeline de traitement des ensembles de données. L'ensemble de données malveillant utilisait deux mécanismes permettant l'exécution de code : un chargeur à distance et l'injection de commandes via un modèle de configuration.
En conséquence, l’attaquant a exécuté du code sur le serveur qui traitait les informations. Il a ensuite favorisé l'accès à un nœud d'infrastructure, collecté les informations d'identification du service cloud et du cluster, puis migré vers plusieurs environnements internes. Ce scénario est différent du téléchargement normal d'un fichier infecté. L'ensemble de données était utilisé comme moyen de transmettre des commandes au système, censé analyser et transformer automatiquement le contenu entrant.
Hugging Face a fermé les deux chemins d'exécution de code, supprimé la présence de l'attaquant, reconstruit les nœuds compromis et révoqué les clés et jetons concernés. L'entreprise a également lancé un remplacement préventif plus large des secrets et renforcé les règles d'accès aux clusters.
Le système d'agent a effectué des milliers d'actions
Hugging Face a décrit la campagne comme une attaque gérée du début à la fin par un système d'agents autonomes. Il a effectué plusieurs milliers d’opérations sur un réseau d’environnements isolés de courte durée.
L'infrastructure de commandement et de contrôle était hébergée sur les services publics et pouvait être transférée indépendamment entre eux. Cette approche rend le blocage difficile : supprimer un élément n'arrête pas nécessairement l'ensemble de la campagne.
Hugging Face ne prétend pas que l’attaque a eu lieu sans aucune participation humaine. On ne sait pas qui a fixé l’objectif initial, contrôlé le système et pris les décisions clés. On ne sait pas non plus si les agents opéraient via un modèle commercial piraté ou un système à échelle ouverte.
Les défenseurs ont également utilisé l'IA
L'incident a été découvert par le système d'analyse des anomalies Hugging Face. Il utilise des modèles de langage pour traiter en premier les journaux de sécurité et sépare les menaces potentielles du grand volume d'événements normaux. Pour rétablir la chronologie, l'entreprise a lancé des agents IA sur le journal complet des actions de l'attaquant. Il contenait plus de 17 000 entrées.
Les agents ont corrélé les événements, identifié les signes de compromission, identifié les informations d'identification affectées et séparé l'activité réelle des fausses pistes. Hugging Face estime que le travail a pris des heures au lieu de plusieurs jours.
Dans un premier temps, l’entreprise a essayé d’utiliser des modèles avancés via des interfaces logicielles commerciales. Pour l'analyse, ils devaient transmettre de véritables commandes d'attaquants, exploiter des textes et des éléments de l'infrastructure de contrôle. Les restrictions de sécurité des FAI bloquaient les demandes et les systèmes étaient incapables de faire la distinction entre enquêter sur un incident numérique et tenter d'obtenir de l'aide en cas de piratage.
Hugging Face n'a pas nommé les services qui ont refusé de traiter les demandes.
Le marché tente déjà de résoudre ce problème en limitant l’accès. En juin, OpenAI a lancé un GPT-5.5-Cyber personnalisé pour les experts agréés. Cependant, le cas Hugging Face montre que cet accès doit être configuré à l'avance : lors d'une attaque active, la négociation des exceptions peut prendre trop de temps.
La maquette ouverte est devenue un outil de secours
Après des pannes de systèmes commerciaux, Hugging Face a déplacé l'enquête vers sa propre infrastructure et a utilisé GLM 5.2 de Z.ai. Ses options sont disponibles pour un déploiement local sous licence MIT.
En conséquence, l’entreprise a pu analyser les contenus dangereux sans bloquer automatiquement les demandes. Dans le même temps, les journaux d’attaque et les informations d’identification qui y sont mentionnées n’ont pas quitté l’environnement interne.
Cependant, le modèle open source lui-même n’est pas plus sûr que le modèle commercial. L'organisation assume la responsabilité de l'infrastructure, du contrôle d'accès, des mises à jour et du contrôle des agents. Une mauvaise configuration peut étendre les conséquences d’une attaque.
La surface d’attaque des plateformes d’IA s’est élargie
L'incident a montré que ce ne sont pas seulement les modèles et le code des programmes qui doivent être protégés. Les risques incluent les données, les configurations, les chargeurs, les outils d'agent et les pipelines de traitement automatisés.
Chaque composant capable d’interpréter du contenu externe ou d’exécuter des commandes devient un point d’entrée potentiel. Le risque est particulièrement élevé pour les systèmes dans lesquels l'agent a accès aux ressources cloud, aux informations d'identification et à d'autres outils.
Hugging Face a recommandé aux clients de remplacer les jetons d'accès et de vérifier l'activité récente du compte par mesure de précaution. Il n’existe pas encore de preuve directe que les modèles publics ou les ensembles de données des utilisateurs ont été compromis, mais une évaluation définitive de l’impact n’est pas complète.
En novembre 2025, l'équipe de renseignement sur les menaces de la startup Anthropic a découvert et perturbé une campagne de cyberespionnage par IA, la première du genre, en septembre. Selon les experts, l'opération a très probablement été planifiée par une agence gouvernementale chinoise.
Les attaques ont touché environ 30 organisations, dont de grandes entreprises technologiques, des industries chimiques et des agences gouvernementales.
En juin 2026, Anthropic a recommandé d'appliquer une approche de confiance zéro aux agents : accorder des droits minimaux, utiliser des jetons de courte durée, vérifier chaque action et assumer la possibilité de compromis.
Rappelons que fin 2024, le PDG de Hugging Face, Clément Delang, s'était dit préoccupé par le développement rapide des modèles d'IA chinois et leur censurabilité. Il a mis en garde contre les conséquences inattendues pour les entreprises occidentales qui choisissent l’intelligence artificielle open source haute performance des développeurs chinois pour l’intégrer dans leurs produits.
Voir l’article original en russe
