Hugging Face bevestigt inbraak op eigen systemen, gebruikers moeten tokens vervangen

Hugging Face bevestigt een inbraak op zijn eigen systemen waarbij interne datasets en inloggegevens zijn buitgemaakt, en roept iedereen die het platform gebruikt op om access-tokens te vervangen en de accountactiviteit na te lopen. Het bedrijf maakte het lek op vrijdag 20 juli bekend.

Voor een Nederlands team dat modellen, datasets of Spaces via de Hugging Face hub draait, is dat geen abstract securitynieuws maar een concrete actie voor vandaag. Elke access-token die op het platform is opgeslagen kan zijn ingezien, dus roteer hem en loop je accountactiviteit na, en stap over op fijnmazige tokens met minimale rechten. Publieke modellen, datasets en Spaces bleven volgens Hugging Face buiten schot; of klant- en partnerdata zijn geraakt, onderzoekt het bedrijf nog.

Wat er precies gebeurde

De aanval begon in de dataverwerkingspijplijn. Een kwaadaardige dataset misbruikte twee routes voor code-uitvoering in de datasetverwerking: een remote-code dataset-loader en een template-injectie. Daarmee kon de aanvaller code draaien op de verwerkende servers, zijn rechten opschalen tot node-niveau, inloggegevens oogsten en zich lateraal door interne clusters bewegen.

Dat patroon is niet nieuw. Niet-vertrouwde inhoud die via een geautomatiseerd systeem code op de host uitvoert, is precies de zwakte die eerder zichtbaar werd toen één webpagina een AI-agent code op de server liet draaien in Microsofts AutoJack-onderzoek. Wie inhoud van buiten laat verwerken door een systeem met te veel rechten, opent dezelfde deur.

De 'autonome AI-agent' is vooralsnog de lezing van het bedrijf

Hugging Face schrijft de campagne toe aan een autonoom AI-systeem dat volgens het bedrijf vele duizenden losse handelingen uitvoerde over een zwerm kortlevende sandboxes. Maar daar zit de nuance die je moet vasthouden: het bedrijf leverde daar geen bewijs voor toen TechCrunch ernaar vroeg, en weet naar eigen zeggen niet welk taalmodel de aanval dreef, een gejailbreakt gehost model of een opengewicht-model zonder ingebouwde remmen.

Diezelfde slag om de arm zag je eerder dit jaar. Bij de JADEPUFFER-ransomware, aanvankelijk gebracht als de eerste volledig autonome AI-aanval, verduidelijkte Sysdig dat een mens het doelwit koos en de gestolen inloggegevens aanleverde; alleen de technische uitvoering liep autonoom. 'Autonoom' is in securitymarketing een rekbaar woord, en zolang onafhankelijke forensische bevestiging ontbreekt, is de toedracht een claim, geen vastgesteld feit.

Hoe Hugging Face reageerde

Het bedrijf trok de gestolen inloggegevens in en verving ze, dichtte het misbruikte lek, schakelde forensisch specialisten in en deed aangifte. Opvallend is hoe het de aanval reconstrueerde: meer dan 17.000 handelingen van de aanvaller werden geanalyseerd door AI-agents die de tijdlijn in uren in plaats van dagen terugbouwden. Een commercieel frontier-model weigerde die analyse eerst, omdat het de aanvalscommando's en exploit-payloads als kwaadaardig aanmerkte; Hugging Face zette daarom een eigen lokaal taalmodel in.

Dat detail is veelzeggend. De ingebouwde veiligheidsremmen van de grote labs, precies wat een aanvaller wil omzeilen, stonden ook een verdediger in de weg die legitiem forensisch werk deed.

Wat dit signaleert

De kern voor wie op de hub bouwt is simpel en dringend: behandel elke daar opgeslagen token als mogelijk gecompromitteerd en roteer nu. Fijnmazige tokens met minimale rechten, die Hugging Face al twee jaar aanraadt, beperken de schade als een sleutel toch uitlekt.

De bredere verschuiving zit in het aanvalsoppervlak. Een AI-platform waar iedereen datasets en modellen naartoe uploadt, is per definitie een plek waar niet-vertrouwde inhoud door de infrastructuur stroomt. Of een mens of een agent de aanval dreef verandert weinig aan de les: de veiligheid zit in hoe streng je die inhoud isoleert en hoe krap je de rechten houdt van de systemen die haar verwerken, niet in de hoop dat de uploader het goed bedoelt.