Hugging Face opplyser i en bloggpost publisert 16. juli at en trusselaktør fikk uautorisert tilgang til et begrenset antall interne datasett og til flere tjenestepålogginger. Angrepet var ifølge selskapet «drevet, ende-til-ende, av et autonomt AI-agentsystem» – noe de ikke har håndtert tidligere.

Selskapet understreker at det ikke er funnet tegn til manipulasjon av offentlige modeller, datasett, Spaces eller programvareforsyningskjeden, inkludert containerbilder og publiserte pakker.

Inn via dataprosesseringspipelinen

Inngangspunktet var plattformens databehandlingspipeline – systemet som prosesserer og validerer datasett lastet opp av brukere. Angriperen utnyttet to kjøringspunkter: en fjernkodeeksekveringsfunksjon i en datasett-laster og en malinjeksjonssårbarhet i en datasett-konfigurasjon. Begge sårbarhetene er nå lukket.

Derfra eskalerte aktøren til node-nivåtilgang, hentet sky- og klyngeinnlogginger og beveget seg sidelengs inn i flere interne klynger i løpet av en helg. Kampanjen benyttet et agentisk rammeverk som kjørte tusenvis av individuelle handlinger fordelt på kortlivede sandkassemiljøer, med kommando-og-kontroll-infrastruktur plassert på offentlige tjenester.

Hvilken underliggende språkmodell som drev angriperens agent, er fortsatt ikke kjent.

AI oppdaget AI

Bruddet ble oppdaget av selskapets egne AI-assisterte deteksjonssystemer. En anomalideteksjonspipeline bruker LLM-basert triagering av sikkerhetstelemetri for å skille reelle varsler fra støy – og det var korrelasjonen av slike signaler som flagget innbruddet.

For å rekonstruere hva de over 17 000 automatiserte handlingene faktisk hadde gjort, kjørte Hugging Face LLM-drevne analyseagenter over hele angriperloggen. Dette gjorde det mulig å kartlegge berørte innlogginger og skille reell påvirkning fra avledningsmanøvrer på timer i stedet for dager.

Analysen støtte på en praktisk hindring: kommersielle front-API-modeller blokkerte forsvarernes forsøk på å sende store volum av faktiske angrepsinstruksjoner og skadelig kode. Sikkerhetsfiltrene skiller ikke mellom en hendelsesresponder og en angriper. Hugging Face løste dette ved å bruke GLM 5.2, en åpen-vekt-modell, på egen infrastruktur – slik forlot verken angriperdata eller kompromitterte innlogginger eget miljø.

Asymmetriproblemet

Hendelsen illustrerer det Hugging Face selv kaller «asymmetriproblemet»: angriperen var ikke bundet av noen brukerpolicy, mens forsvarernes rettsmedisinske arbeid ble blokkert av sikkerhetsreglene til de kommersielle API-leverandørene de først forsøkte å bruke.

Lærdommen selskapet trekker, er at virksomheter som er avhengige av AI i sikkerhetsberedskapen, bør ha en kapabel modell klar til å kjøre på egen infrastruktur før en hendelse inntreffer – for å unngå guardrail-blokkering og holde sensitiv data internt. Hugging Face presiserer at dette ikke er et argument mot sikkerhetstiltak på kommersielle modeller, og at de deler tilbakemeldingen med de berørte leverandørene.

Hugging Face samarbeider nå med eksterne rettsmedisinske spesialister og har meldt hendelsen til politimyndighetene. Vurderingen av om partner- eller kundedata er berørt, pågår fortsatt, og berørte parter vil bli kontaktet direkte.

Norsk eksponering

Hugging Face er en sentral infrastrukturkomponent i norsk AI-forskning. Nasjonalbibliotekets AI-laboratorium (NbAiLab) og Språkteknologigruppen ved Universitetet i Oslo (LTG) drifter egne organisasjonsprofiler på plattformen og distribuerer norske språkmodeller og datasett der. NorwAI ved NTNU publiserer modeller som NorwAI-Mistral-7B via samme tjeneste.

Virksomheter og forskningsmiljøer som bruker Hugging Face-tokens for å laste ned modeller eller publisere datasett, kan ha aktive innlogginger som bør kontrolleres. Hugging Face anbefaler at alle brukere roterer tilgangstokens og gjennomgår nylig kontoaktivitet.

EU AI-loven, som ble fullt anvendelig 2. august 2026, stiller krav om cybersikkerhetsproteksjon for leverandører av GPAI-modeller med systemisk risiko. EØS-innlemmelse av forordningen er under behandling. Åpne modeller er delvis unntatt fra dokumentasjonspliktene, men unntaket gjelder ikke dersom modellen inngår i et høyrisikosystem eller er klassifisert som systemisk.

Et varslet angrepsscenario

Hugging Face skriver at kampanjen samsvarer med det «agentiske angriper»-scenarioet bransjen lenge har forutsett. En undersøkelse referert av Kiteworks og Le VPN viste at 48 prosent av sikkerhetseksperter pekte på agentisk AI og autonome systemer som den viktigste angrepsvektoren for 2026.

Sent i juni 2026 dokumenterte sikkerhetsselskapet Sysdig et beslektet angrep der en AI-agent kjørte over 600 distinkte nyttelaster, krypterte mer enn 1 300 konfigurasjonsoppføringer og genererte sin egen løsepengenota, ifølge Android Headlines.

Hugging Face konkluderer med at «autonomt, AI-drevet offensivt verktøy er ikke lenger teoretisk», og at forsvar av en nettbasert plattform nå forutsetter at data- og modellflaten behandles som en primær angrepsflate.

Tiltak og neste skritt

Selskapet har lukket de to sårbare kjøringspunktene i dataprosesseringspipelinen, fjernet angriperens fotfeste i de berørte klyngene, gjenoppbygd kompromitterte noder og tilbakekalt og rotert berørte innlogginger og tokens. En bredere forebyggende rotasjon av hemmeligheter er igangsatt.

Hugging Face har innført strengere adgangskontroller på klyngene og oppgradert deteksjons- og varslingsrutinene slik at et høyalvorsignal når en responder innen minutter, uansett ukedag.

Det pågående rettsmedisinske arbeidet vil avgjøre om partnere eller kunder er direkte berørt. Selskapet vil kontakte eventuelle berørte parter direkte.