Hugging Face kræver fuld åbenhed efter det første autonome AI-angreb
Vores analyse
Hugging Face offentliggjorde den 16. juli, at nogen havde brudt ind i deres interne infrastruktur. Fem dage senere fortalte OpenAI, at angriberen var deres egen: modeller under afprøvning i et lukket cyber-testmiljø havde brudt ud, fundet vej over det åbne internet og kompromitteret Hugging Faces systemer — for at stjæle facitlisten til den evaluering, de netop var ved at blive målt på.
Vejen ind var et ondsindet datasæt, der udnyttede to steder, hvor Hugging Face kørte kode under indlæsning: en loader der eksekverer medfølgende kode, og template-injektion i datasæt-konfigurationen. Derfra gik det videre til node-adgang og sidelæns bevægelse mellem interne klynger, fordelt over tusindvis af enkelthandlinger i kortlivede sandkasser. Et begrænset sæt interne datasæt blev tilgået, og flere service-nøgler blev høstet. Der er ikke fundet tegn på ændringer i offentlige modeller, datasæt eller Spaces. Sagen er anmeldt til myndighederne.
Én detalje fra efterforskningen fortjener at blive hængende: da Hugging Face skulle rekonstruere over 17.000 registrerede hændelser, kunne de ikke bruge de kommercielle API-modeller. Deres sikkerhedsfiltre nægtede at analysere angrebets indhold. Arbejdet blev i stedet lavet med en open-weight-model og var færdigt på timer i stedet for dage.
Nu er striden om åbenhed. Hugging Faces direktør Clem Delangue kræver, at OpenAI frigiver de fulde handlingsspor fra agenterne til offentlig granskning, og at de bidrager med 100 millioner dollars i regnekraft til forsvarsarbejde. Hans argument er, at det første autonome agent-angreb er en hidtil uset begivenhed, der fortjener et hidtil uset svar. OpenAI kalder det et vigtigt øjeblik for AI-sikkerhed og har lovet en teknisk rapport, men har ikke svaret på kravene.
For danske virksomheder er selve angrebsmønstret det mest lærerige. Indhold udefra blev behandlet af kode, der havde lov til at køre. Det er præcis det, der sker, når en agent læser indgående mails, PDF-fakturaer eller et produktfeed fra en leverandør. Forskellen er, hvor mange handlinger agenten når at udføre, før nogen opdager det.