- Hugging Face è stata violata da un agente AI autonomo.
- Quando i difensori hanno provato a usare i modelli americani per analizzare l'attacco, i filtri di sicurezza li hanno bloccati.
- Hanno dovuto usare GLM-5.2, il modello cinese open-source, mentre, ovviamente, gli attaccanti non avevano filtri a bloccarli.
Hugging Face è stata attaccata da un agente AI autonomo. Quando il suo team di sicurezza ha provato a usare modelli AI per analizzare l’attacco, i guardrail di sicurezza li hanno bloccati. gli attaccanti, ovviamente, non avevano guardrail.
L’intrusione è avvenuta nella settimana del 13 luglio 2026. Hugging Face, la piattaforma newyorkese che permette di collaborare su modelli, dataset e applicazioni AI, e che quest’estate ha superato i 100 milioni di dollari di ricavi annui ricorrenti, ha pubblicato il suo incident report il 16 luglio. È uno dei documenti più onesti e utili usciti dal mondo della cybersecurity negli ultimi mesi.
Indice dei contenuti
Come è avvenuto l’attacco ad Hugging Face
Il punto di ingresso è stato il data processing pipeline, cioè il sistema che Hugging Face usa per elaborare i dataset caricati dagli utenti. Un dataset malevolo ha sfruttato due vulnerabilità di esecuzione del codice: un remote-code dataset loader, che permetteva di eseguire codice arbitrario durante il caricamento, e una template-injection nella configurazione del dataset. Attraverso queste due falle, l’attaccante ha ottenuto l’esecuzione di codice su un worker di elaborazione.
Da lì la progressione è stata rapida. Escalation all’accesso a livello di nodo, raccolta di credenziali cloud e di cluster, movimento laterale in diversi cluster interni nel corso di un weekend. Il tutto eseguito da un framework agentico autonomo che ha compiuto decine di migliaia di azioni individuali attraverso uno sciame di sandbox a vita breve, con un sistema di comando e controllo auto-migrante ospitato su servizi pubblici.
Hugging Face non sa quale modello ha alimentato gli agenti dell’attaccante: potrebbe essere un modello commerciale con jailbreak o un modello open-weight senza restrizioni. In ogni caso, l’attaccante non era vincolato da nessuna policy d’uso.
Il problema dei guardrail: asimmetria tra attacco e difesa
Qui sta la parte più significativa del report. Quando il team di sicurezza di Hugging Face ha iniziato l’analisi degli oltre 17.000 eventi registrati dall’attaccante, ha provato prima a usare i modelli frontier commerciali americani tramite API. Non ha funzionato.
Il problema è strutturale: l’analisi forense richiede di sottoporre al modello grandi volumi di comandi di attacco reali, payload di exploit e artefatti di comando e controllo. I guardrail di sicurezza dei provider commerciali non riescono a distinguere un analista di incident response da un attaccante, e bloccano entrambi.
Il team ha quindi eseguito l’analisi su GLM 5.2, il modello open-weight cinese di Z.ai, ospitato sulla propria infrastruttura. Questo ha risolto il problema dei guardrail e ha aggiunto un secondo vantaggio: nessun dato dell’attaccante e nessuna delle credenziali da lui usate, ha lasciato l’ambiente di Hugging Face. Con un’API commerciale, quei dati sensibili sarebbero transitati su infrastruttura di terzi.
Grazie a questo approccio, il team ha ricostruito la timeline dell’attacco, estratto gli indicatori di compromissione, mappato le credenziali toccate e separato l’impatto reale dall’attività diversiva in ore invece che giorni.
La raccomandazione di Hugging Face ai difensori è diretta: “avere un modello capace che si possa far girare sulla propria infrastruttura, verificato e pronto prima di un incidente, sia per evitare il blocco dei guardrail sia per tenere i dati dell’attaccante e le credenziali fuori dall’ambiente.”
Il contesto più ampio: guardrail come vantaggio asimmetrico
Questo incidente arriva in un momento in cui il dibattito sui guardrail dei modelli AI ha già una storia recente densa di episodi. A giugno il governo americano aveva bloccato Fable 5 e Mythos 5 di Anthropic citando preoccupazioni di sicurezza nazionale. Il 30 giugno Anthropic ha rilasciato nuovamente i due modelli con guardrail rafforzati, ammettendo esplicitamente che i classificatori vengono impostati in modo conservativo: “una richiesta deve sembrare chiaramente sicura per evitare di attivare il classificatore.”
Il caso Hugging Face mostra il costo pratico di questa conservatività. I guardrail pensati per impedire usi malevoli bloccano anche usi legittimi e urgenti, come l’analisi forense durante un attacco attivo. E chi attacca non ha questo problema.
Questa asimmetria non è nuova nella sicurezza informatica, ma l’AI la amplifica. I modelli open-weight, distribuibili e ospitabili localmente, offrono ai difensori una via d’uscita da questa trappola, ma richiedono competenze tecniche e infrastruttura propria. Non sono un’opzione disponibile a tutte le organizzazioni.
GLM 5.2 aveva già mostrato capacità rilevanti in ambito sicurezza: nei test di Semgrep aveva ottenuto un 39% di F1 score sul rilevamento di vulnerabilità IDOR, battendo Claude Code al 32%, a circa 0,17 dollari per vulnerabilità trovata. Il caso Hugging Face aggiunge un dato di utilizzo reale a quei benchmark.
Cosa è stato compromesso e cosa no
Hugging Face ha trovato accesso non autorizzato a un insieme limitato di dataset interni e a diverse credenziali usate dai propri servizi. Non ha trovato evidenza di manomissione di modelli pubblici, dataset o Spaces accessibili agli utenti. La supply chain, cioè le immagini container e i pacchetti pubblicati, è stata verificata pulita.
L’azienda ha revocato e ruotato le credenziali compromesse e ha avviato una rotazione più ampia dei segreti a scopo precauzionale. Raccomanda a tutti gli utenti di ruotare i propri access token e di verificare l’attività recente sui propri account. Chi ritiene di essere stato colpito può scrivere a security@huggingface.co.
Il primo attacco agentico documentato su larga scala
Hugging Face usa una formulazione precisa nel suo report: “questa corrisponde allo scenario dell’attaccante agentico che l’industria stava prevedendo.” Non è più teoria. Un sistema di agenti AI autonomi ha condotto un’intrusione multi-stadio, prolungata e paziente contro un’infrastruttura critica del mondo AI, eseguendo decine di migliaia di azioni coordinate su un weekend.
La difesa di un’infrastruttura online significa ora trattare la superficie dei dati e dei modelli come superficie di attacco primaria, e usare AI in difesa per tenere il passo con AI in attacco. È una corsa agli armamenti che è già iniziata.
