В июле 2026 года платформа Hugging Face подверглась взлому, осуществленному автономной системой ИИ-агентов. Инцидент выявил критическую проблему асимметрии между атакующими и защитниками.
2 мин
В июле 2026 года платформа Hugging Face сообщила о беспрецедентном инциденте безопасности. Впервые в истории компании производственная инфраструктура была взломана не людьми, а полностью автономной системой ИИ-агентов.
Этот инцидент наглядно демонстрирует, что использование больших языковых моделей (LLM) для проведения сложных многоэтапных кибератак перешло из области теоретических прогнозов в реальность. Для индустрии это означает необходимость радикального пересмотра подходов к защите инфраструктуры.
Платформы для работы с искусственным интеллектом имеют уникальную поверхность атаки, которая отличается от традиционных веб-сервисов. Главной уязвимой точкой становятся конвейеры обработки данных (data-processing pipelines).
Долгое время эксперты по кибербезопасности предупреждали о появлении «агентных атакующих» (agentic attackers) — систем, способных самостоятельно планировать действия, писать код, находить уязвимости и адаптироваться к изменениям в среде.
Взлом начался с загрузки вредоносного набора данных. Атакующие использовали два пути выполнения кода: загрузчик данных с удаленным выполнением и внедрение шаблонов в конфигурацию датасета.
Получив доступ к рабочему узлу (worker), ИИ-агент повысил привилегии, собрал учетные данные облака и кластера, а затем за выходные распространился на несколько внутренних кластеров.
Кампания управлялась автономным фреймворком, который выполнил десятки тысяч индивидуальных действий через рой короткоживущих изолированных сред (sandboxes). Командно-контрольная инфраструктура (command-and-control) постоянно мигрировала между публичными сервисами.
Самым показательным аспектом инцидента стало то, как Hugging Face проводила расследование. Для анализа более 17 000 записанных событий компания использовала собственных ИИ-агентов. Это позволило восстановить хронологию и выявить скомпрометированные учетные данные за несколько часов, а не дней.
Однако в процессе защиты выявилась серьезная проблема — «проблема асимметрии». Когда инженеры попытались использовать передовые коммерческие модели через API для анализа логов, системы безопасности провайдеров заблокировали запросы. Встроенные фильтры (guardrails) не смогли отличить специалиста по реагированию на инциденты, отправляющего вредоносный код для анализа, от реального злоумышленника.
В итоге расследование пришлось проводить на собственной инфраструктуре с использованием открытой модели (open-weight model) GLM 5.2. Это дало дополнительное преимущество: данные об атаке не покинули защищенный периметр компании.
Автономные наступательные инструменты на базе ИИ снижают стоимость проведения долгих и сложных атак, позволяя им работать на машинной скорости. Злоумышленники не связаны правилами использования и могут применять модели без ограничений.
Для защитников главный урок заключается в необходимости иметь мощную локальную модель машинного обучения, готовую к работе до начала инцидента. Опора исключительно на облачные API с жесткой модерацией может оставить команду безопасности без инструментов в критический момент. Защита современных платформ теперь требует использования ИИ для противостояния ИИ.
Автономные ИИ-агенты уже используются для реальных кибератак, что требует от защитников применения аналогичных ИИ-инструментов для быстрого реагирования на инциденты.
Системы безопасности коммерческих LLM мешают расследованию киберинцидентов, блокируя запросы защитников, в то время как атакующие используют модели без ограничений.
