Présentation de l'incident

Hugging Face, une plateforme d'hébergement de modèles et de jeux de données d'IA, a confirmé que ses jeux de données internes et les informations d'identification de ses services ont été compromises lors d'une attaque informatique la semaine dernière.

La société a déclaré que le piratage a été rendu possible par une faille de sécurité exploitée par un jeu de données téléchargé sur sa plateforme, permettant ainsi aux attaquants d'exécuter du code malveillant sur ses serveurs et d'accéder à ses systèmes internes.

Fonctionnement de l'attaque

Les attaquants ont utilisé un agent IA externe pour exécuter des milliers d'actions individuelles à travers des environnements de test temporaires, avec un système de commandement et de contrôle autonome hébergé sur des services publics.

La société a indiqué que sa propre détection d'anomalies a détecté l'attaque et a utilisé un modèle d'IA pour analyser les journaux du serveur qui ont enregistré l'attaque informatique.

Implications et limites

Hugging Face a souligné les défis auxquels les entreprises comme la sienne sont confrontées lorsqu'elles tentent d'abuser des plateformes et des outils pour accéder et voler des données sensibles de l'intérieur.

La société a également noté que les modèles d'IA de pointe, tels que ceux d'Anthropic, sont souvent limités et empêchent les défenseurs de s'enquérir de questions liées à la cybersécurité, y compris pour la défense et les enquêtes.

Conséquences et mesures

Hugging Face a annulé et remplacé les informations d'identification volées qui ont été accessibles et a exhorté les utilisateurs à faire de même avec toutes les clés stockées sur la plateforme, et à examiner toute activité suspecte sur leurs comptes.

La société a également déclaré qu'elle a signalé l'incident aux autorités et a fait appel à des spécialistes en cybersécurité pour enquêter sur la faille de sécurité et examiner sa sécurité.

Les utilisateurs sont invités à vérifier leurs comptes et à mettre à jour leurs clés de sécurité pour éviter toute atteinte à la sécurité.