La plataforma de IA Hugging Face reveló una brecha en parte de su infraestructura de producción que, según la propia empresa, fue ejecutada por completo por un sistema de agentes de IA autónomos. La compañía afirma que detectó y analizó el ataque en gran medida con sus propias herramientas de inteligencia artificial.

De acuerdo con Hugging Face, los atacantes obtuvieron acceso no autorizado a un conjunto limitado de datasets internos y a varias credenciales usadas por los servicios de la plataforma. La empresa sostiene que los modelos, datasets y Spaces públicos no fueron alterados, y que la cadena de suministro de software no se vio afectada. Aún se investiga si se comprometieron datos de socios o clientes.

¿Cómo empezó el ataque?

Según Hugging Face, el ataque comenzó en uno de los puntos más débiles de cualquier plataforma de IA: la canalización de procesamiento de datos. Un dataset malicioso explotó dos vías de ejecución de código en el procesamiento de datasets, en concreto un cargador de código remoto y una inyección de plantilla en la configuración de un dataset.

Desde ahí, el atacante escaló a nivel de nodo, recolectó credenciales de nube y de clúster y se movió lateralmente por varios clústeres internos durante un fin de semana. La empresa afirma que un framework de agentes autónomos, construido sobre una plataforma de investigación de seguridad, orquestó toda la campaña.

Hugging Face dice no saber qué modelo de lenguaje impulsó el ataque. El sistema ejecutó muchos miles de acciones individuales a través de un enjambre de sandboxes de vida corta y usó infraestructura de comando y control automigratoria alojada en servicios públicos. La compañía clasifica el incidente como el escenario de "atacante agéntico" que la industria viene anticipando desde hace tiempo.

¿Cómo redujo la investigación de días a horas?

Hugging Face afirma que detectó el ataque mediante una canalización de detección de anomalías impulsada por IA, que corre triaje basado en modelos de lenguaje sobre la telemetría de seguridad. Para dar sentido a las más de 17.000 acciones registradas del atacante, la empresa desplegó agentes de análisis basados en modelos de lenguaje.

Esos agentes reconstruyeron la línea de tiempo, extrajeron indicadores de compromiso, mapearon las credenciales afectadas y separaron el daño real de las maniobras de distracción. Un trabajo que normalmente habría tomado días se completó en horas, según la compañía.

Los filtros de seguridad comerciales bloquearon su propia defensa

Según Hugging Face, cuando el equipo de seguridad intentó por primera vez analizar los registros del ataque usando modelos de frontera detrás de APIs comerciales, chocó con un muro. Las barreras de seguridad de los proveedores bloquearon las solicitudes porque no lograban distinguir a un investigador de incidentes de un atacante. El análisis exigía enviar grandes volúmenes de comandos de ataque reales, cargas de exploits y artefactos de comando y control, y todo eso disparaba los filtros.

La empresa recurrió entonces al modelo de pesos abiertos GLM 5.2, ejecutándolo en su propia infraestructura. Según la compañía, eso tuvo dos ventajas: ningún dato del atacante y ninguna de las credenciales mencionadas salió jamás de su propio entorno.

"No sabemos qué modelo impulsó los agentes del atacante, si un modelo alojado con jailbreak o uno de pesos abiertos sin restricciones; en cualquier caso, el atacante no estaba sujeto a ninguna política de uso, mientras que nuestro propio trabajo forense quedó bloqueado por las barreras de los modelos alojados que probamos primero", escribió Hugging Face.

La lección práctica para los defensores, dice la empresa, es tener un modelo capaz corriendo en la propia infraestructura antes de que ocurra un incidente. Hugging Face aclara que esto no es un argumento en contra de las medidas de seguridad en los modelos alojados.

La respuesta de Hugging Face y las preguntas abiertas

Hugging Face afirma que cerró las vías de ejecución de código explotadas, revocó el acceso del atacante, reconstruyó los nodos comprometidos y rotó las credenciales afectadas. La empresa también endureció los controles de acceso y mejoró sus sistemas de detección. Trabaja con expertos forenses externos y reportó el incidente a las autoridades. Como precaución, recomienda que todos los usuarios roten sus tokens de acceso y revisen la actividad reciente de su cuenta.

El incidente confirma que las herramientas de ataque autónomas impulsadas por IA ya no son teóricas. Según Hugging Face, abaratan el costo de campañas amplias y de múltiples etapas, y operan a velocidad de máquina. La compañía sostiene que las superficies de datos y de modelos deben tratarse como superficies de ataque de primera clase, y que los defensores necesitan su propia IA para seguir el ritmo.

Hay que leer la conclusión con contexto: Hugging Face es una de las mayores plataformas de modelos de IA de código abierto y tiene un interés comercial claro en presentar los modelos abiertos como imprescindibles para el trabajo de seguridad. Su tesis de que los defensores necesitan sí o sí sus propios modelos de pesos abiertos a mano no es del todo desinteresada. Aun así, el episodio deja una advertencia concreta para cualquier equipo de seguridad en LatAm: depender solo de APIs comerciales puede dejarte sin herramientas justo cuando más las necesitas.