Beatingによると、Hugging Faceは、自律的なAIエージェントが悪意のあるデータセットを用いてコードを実行し、認証情報を盗むことで侵入されたとのことです。17,000件超のレコードが生成され、複数の社内クラスターにまたがって数万件規模の自動化された操作が行われました。
商用の最先端モデルは、安全上の制限により、実際の攻撃コマンドや脆弱性のペイロードを分析できませんでした。Hugging Faceは、セキュリティ調査を完了するために、オープンウェイトモデルのGLM-5.2をローカル環境で展開しました。脆弱性は修正され、影響を受けた認証情報は無効化され、公的なモデル、データセット、またはSpacesに改ざんは検出されませんでした。
