Hugging Face heeft bevestigd dat een zelfsturende software-agent zijn productieomgeving heeft gecompromitteerd. Daarbij zijn interne data en service-inloggegevens ingezien. Volgens het bedrijf is het incident half juli 2026 ontdekt en daarna ingedamd. Vooralsnog zegt Hugging Face geen bewijs te hebben dat publieke modellen, datasets of gebruikersgerichte applicaties zijn aangepast. Het onderzoek loopt nog, dus over de uiteindelijke impact is het laatste woord nog niet gezegd.
Wel is er één praktische stap die je beter meteen zet: vernieuw uit voorzorg je Hugging Face-toegangstokens. Dat advies komt van Hugging Face zelf.
Volgens Hugging Face verliep de aanval zo:
- kwaadaardige dataset als eerste toegangspunt. De eerste ingang liep volgens Hugging Face via een dataset die naar het platform was geüpload. Die maakte misbruik van twee routes voor code-uitvoering in de dataverwerkingspijplijn van Hugging Face.
- eerste toegang tot de productieomgeving. Via die twee routes wist de aanvaller vervolgens binnen te komen in de productieomgeving.
- ondersteunende infrastructuur als direct doelwit. Dat valt op, omdat dit soort pijplijnen meestal wordt gezien als ondersteunende infrastructuur en niet als het meest zichtbare doelwit. In dit geval bleken ze juist een directe route naar gevoelige interne systemen.
- rechtenescalatie en laterale verplaatsing. Na de eerste inbraak heeft de agent volgens Hugging Face zijn rechten uitgebreid, credentials verzameld en zich lateraal verplaatst door meerdere interne clusters.
- weekendoperatie in sandboxomgevingen. Volgens Hugging Face gebeurde dat verspreid over een weekend, met duizenden acties die via kortstondige sandboxomgevingen werden uitgevoerd.
- command-and-control (C2)-infrastructuur. Command-and-control, meestal afgekort tot C2, is de benaming voor de systemen waarmee een aanvaller een operatie op afstand aanstuurt. In dit geval zou die infrastructuur volgens Hugging Face steeds zijn verplaatst tussen publieke diensten om detectie en blokkades te ontwijken. Dat wijst erop dat de aanval niet alleen geautomatiseerd was, maar zich tijdens de operatie ook zelfstandig kon aanpassen.
- relevantie voor eindgebruikers. Voor jou als eindgebruiker zit de relevantie vooral hierin: dit type aanval is lastiger te stoppen met traditionele blokkades op één server, één domein of één account.
- herstelmaatregelen. Hugging Face zegt dat de misbruikte kwetsbaarheden inmiddels zijn gesloten, gecompromitteerde systemen opnieuw zijn opgebouwd en getroffen credentials zijn ingetrokken. Daarnaast zijn extra detectie- en monitoringsmaatregelen ingevoerd om vergelijkbare activiteit sneller te signaleren.
- publieke onderdelen en resterend risico. Hugging Face benadrukt opnieuw dat er geen aanwijzingen zijn dat publieke assets zijn gemanipuleerd. Toch blijft voorzichtigheid nodig, omdat interne servicecredentials bij dit soort incidenten later ook kunnen worden misbruikt voor vervolgacties.
Beveiligingsonderzoekers zien dit incident als een signaal dat sterk autonome tools inmiddels complete cybercampagnes kunnen uitvoeren met weinig menselijke tussenkomst. Ze wijzen daarbij ook op andere recente, verregaand geautomatiseerde aanvallen en ransomware-activiteiten, zoals JADEPUFFER.
De bredere les is vrij duidelijk. Organisaties moeten dit soort systemen behandelen als een interne dreiging, met strakkere toegangsrechten, fijnmazige logging en continue monitoring. Vooral dataverwerkingspijplijnen en toeleveringsketens rond modellen worden zo een steeds belangrijker aanvalsoppervlak.
Wie achter de aanval zit, is nog niet duidelijk. Er is publiek geen toeschrijving aan een land, groep of bekende criminele actor, en ook over het motief is op dit moment weinig bekend. Daarnaast moet het lopende onderzoek volgens Hugging Face binnenkort meer duidelijkheid geven over de uiteindelijke impact.
