A Hugging Face, uma das maiores plataformas do mundo para hospedagem de modelos e conjuntos de dados de inteligência artificial, confirmou que sofreu um incidente de segurança que resultou no acesso não autorizado a datasets internos e a credenciais utilizadas por seus serviços. A empresa informou que a investigação ainda está em andamento e orientou todos os usuários a revisar suas contas e substituir imediatamente os tokens de acesso armazenados na plataforma.
Segundo a Hugging Face, o ataque começou quando um dataset malicioso explorou vulnerabilidades no processo de tratamento de conjuntos de dados enviados à plataforma. A falha permitiu que os invasores executassem código nos servidores, elevassem privilégios e obtivessem acesso a partes da infraestrutura interna. A empresa informou que as vulnerabilidades já foram corrigidas.
A companhia afirmou que não encontrou evidências de adulteração em modelos públicos, datasets disponibilizados aos usuários ou projetos hospedados no serviço Spaces. Também declarou que sua cadeia de fornecimento de software, incluindo imagens de contêineres e pacotes publicados, permaneceu íntegra durante o incidente.
Como medida de contenção, a Hugging Face revogou e renovou todas as credenciais internas afetadas, reconstruiu os sistemas comprometidos e implementou novos controles de segurança. Além disso, a empresa recomenda que desenvolvedores e organizações que armazenam tokens de acesso, chaves de API ou outras credenciais na plataforma realizem a rotação dessas chaves e monitorem possíveis atividades suspeitas em suas contas.
Um dos aspectos que mais chamou a atenção foi a alegação da empresa de que o ataque teria sido conduzido por um sistema autônomo baseado em agentes de inteligência artificial, capaz de executar milhares de ações automatizadas para explorar vulnerabilidades, movimentar-se pela infraestrutura e coletar credenciais. Embora a Hugging Face tenha atribuído o incidente a esse tipo de tecnologia, especialistas afirmam que essa hipótese ainda deverá ser analisada durante a investigação forense.
O caso reforça os desafios de segurança enfrentados por plataformas de inteligência artificial que permitem o envio e processamento de modelos e datasets de terceiros. À medida que esses ambientes se tornam mais complexos e amplamente utilizados por pesquisadores e empresas, cresce também a necessidade de mecanismos robustos para impedir que conteúdos maliciosos comprometam infraestruturas críticas e exponham dados sensíveis.
