L’attacco informatico che ha colpito Hugging Face rappresenta uno dei casi più significativi degli ultimi anni nel panorama della cybersicurezza applicata all’AI. La piattaforma, punto di riferimento mondiale per lo sviluppo e la distribuzione di modelli AI open source, ha confermato che alcuni aggressori sono riusciti a compromettere la propria infrastruttura di produzione sfruttando un sistema basato su agenti di intelligenza artificiale autonomi, una modalità operativa che fino a poco tempo fa apparteneva soprattutto agli scenari teorici ipotizzati dai ricercatori.

Hugging Face è oggi una delle infrastrutture più importanti dell’ecosistema AI globale. Ospita decine di migliaia di modelli di machine learning sviluppati da aziende, università e comunità open source, oltre a dataset, demo interattive e strumenti utilizzati quotidianamente da oltre 50.000 organizzazioni. Un’intrusione all’interno di un ambiente di queste dimensioni assume quindi un’estrema gravità, proprio perché coinvolge una piattaforma sulla quale si basa una parte consistente dell’innovazione nel settore dell’intelligenza artificiale.

Secondo quanto ricostruito dall’azienda, gli aggressori hanno avviato l’operazione sfruttando un dataset appositamente modificato per innescare due vulnerabilità di esecuzione del codice all’interno della pipeline di elaborazione. Una volta ottenuto l’accesso a un nodo incaricato del processamento dei dati, il gruppo ha sottratto credenziali cloud e di cluster, utilizzandole successivamente per muoversi lateralmente tra diversi sistemi interni.

L’aspetto realmente innovativo dell’incidente riguarda però la natura dell’attacco. Hugging Face descrive infatti la campagna come orchestrata da un framework di agenti autonomi, capace di eseguire migliaia di operazioni indipendenti distribuite su una moltitudine di sandbox temporanee. L’infrastruttura di comando e controllo, inoltre, sarebbe stata continuamente riconfigurata utilizzando servizi pubblici, rendendo estremamente complessa la ricostruzione dell’intera catena operativa.

In pratica, ci si trova di fronte a un sistema in grado di prendere decisioni, adattarsi all’ambiente e modificare dinamicamente il proprio comportamento durante l’attacco. È proprio questo il concetto di “attaccante agentico”, una categoria di minacce che negli ultimi mesi è stata spesso citata dagli analisti come possibile evoluzione della cybercriminalità alimentata dai grandi modelli linguistici.

Non è ancora stato possibile però identificare quale modello AI abbia alimentato gli agenti utilizzati dagli aggressori. L’azienda spiega di non sapere se sia stato impiegato un modello commerciale modificato per aggirarne le limitazioni, oppure una soluzione open weight priva di restrizioni. Questa incertezza evidenzia il fatto che distinguere le capacità offensive dei diversi modelli sarà sempre più difficile man mano che gli strumenti AI diventeranno accessibili a una platea sempre più ampia.

hugging face agenti ai

Crediti: Shutterstock

L’indagine è tuttora in corso e Hugging Face non ha ancora stabilito se dati appartenenti a clienti o partner siano stati effettivamente compromessi. Qualora emergessero evidenze in tal senso, l’azienda ha assicurato che i soggetti coinvolti saranno contattati direttamente. Al momento, tuttavia, non sono stati rilevati segnali di alterazione dei modelli pubblici, dei dataset disponibili sulla piattaforma o degli ambienti Spaces utilizzati dagli sviluppatori. Anche la supply chain software è stata verificata e, secondo la società, non presenta tracce di compromissione.

La risposta all’incidente è stata articolata su più livelli. Gli sviluppatori hanno eliminato i percorsi vulnerabili sfruttati dagli aggressori, ricostruito i nodi compromessi, revocato e rigenerato tutte le credenziali interessate e implementato sistemi di rilevamento più efficaci per individuare comportamenti anomali. Parallelamente sono stati coinvolti esperti forensi esterni e le autorità competenti, con l’obiettivo di ricostruire con precisione la dinamica dell’attacco e valutarne l’impatto reale.

Tra gli aspetti più interessanti dell’analisi pubblicata dall’azienda emerge anche una riflessione destinata a far discutere la comunità della sicurezza informatica. Hugging Face spiega infatti che, durante le prime attività investigative, alcuni modelli AI ospitati su piattaforme commerciali hanno limitato le analisi a causa dei rispettivi meccanismi di protezione. La piattaforma ha quindi eseguito l’analisi forense sulla propria infrastruttura utilizzando GLM 5.2, un modello cinese a pesi aperti. “Ciò ha comportato un secondo vantaggio: nessun dato relativo agli autori degli attacchi, né alcuna delle credenziali a cui facevano riferimento, è uscito dal nostro ambiente”, si legge nel report.

In via precauzionale Hugging Face invita inoltre tutti gli utenti a ruotare i token di accesso, verificare le attività recenti dei propri account e monitorare eventuali comportamenti sospetti. Una misura prudenziale che riflette la volontà di ridurre qualsiasi rischio residuo mentre le indagini proseguono. Pur essendo il primo episodio ufficialmente attribuito a un agente AI autonomo, la piattaforma non è nuova a problematiche di sicurezza.

Già nel 2024 era stata costretta a revocare alcune credenziali di autenticazione dopo una compromissione del servizio Spaces, raccomandando l’adozione di token con privilegi granulari. Negli ultimi anni, inoltre, ricercatori e aziende di sicurezza hanno documentato numerosi tentativi di sfruttare Hugging Face per distribuire modelli di machine learning malevoli, malware specializzati nel furto di informazioni e perfino migliaia di varianti di codice dannoso destinate ai dispositivi Android. L’episodio appena emerso segna però un salto qualitativo e dimostra che l’AI può essere trasformata in uno strumento offensivo capace di automatizzare attacchi complessi con un livello di adattabilità finora inedito.

(Immagine in apertura: Shutterstock)