Hugging Face expose un incident de sécurité lié à un agent IA autonome en juillet 2026

Hugging Face annonce avoir détecté et neutralisé un incident de sécurité impliquant un agent IA autonome en juillet 2026, marquant une première dans son infrastructure.

L’incident a débuté via une exploitation de la chaîne de traitement des données de Hugging Face, où un jeu de données malveillant a abusé de deux mécanismes d’exécution de code dans le pipeline de traitement : un chargeur de jeu de données à exécution distante et une injection de modèle dans la configuration d’un jeu de données. Ces vulnérabilités ont permis à l’attaquant d’exécuter du code sur un nœud de traitement, puis d’escalader ses privilèges pour accéder à des identifiants cloud et cluster. L’attaquant a ensuite migré latéralement vers plusieurs clusters internes sur une période de week-end, en utilisant un cadre d’agent autonome exécutant des milliers d’actions depuis des environnements éphémères.

Hugging Face indique avoir identifié un accès non autorisé à un ensemble limité de jeux de données internes et à plusieurs identifiants de services, sans preuve de compromission des modèles publics, des jeux de données utilisateurs, des Spaces ou de la chaîne d’approvisionnement logicielle (images conteneurs et paquets publiés). L’entreprise poursuit son évaluation pour déterminer si des données partenaires ou clientes ont été affectées et contactera directement les parties concernées le cas échéant.

Pour contrer l’attaque, Hugging Face a fermé les chemins d’exécution de code dans les jeux de données utilisés pour l’accès initial, éradiqué les accès des attaquants sur les clusters compromis et reconstruit les nœuds concernés. Les identifiants et jetons compromis ont été révoqués et remplacés, avec une rotation préventive élargie des secrets. Des contrôles d’admission renforcés et des garde-fous supplémentaires ont été déployés sur les clusters, tandis que les systèmes de détection et d’alerte ont été améliorés pour réduire le temps de réponse à quelques minutes en cas de signal de haute gravité.

L’entreprise collabore avec des experts en cybersécurité externes pour investiguer l’incident et revoir ses politiques de sécurité. Elle a également signalé l’incident aux autorités compétentes. En guise de précaution, Hugging Face recommande aux utilisateurs de faire tourner leurs jetons d’accès et de vérifier l’activité récente de leurs comptes.