A Hugging Face, conhecida pela hospedagem de modelos e conjuntos de dados de inteligência artificial, anunciou recentemente que seus sistemas internos foram alvo de uma invasão hacker. Em um post no blog oficial da empresa, foi revelado que as credenciais de serviço e os datasets internos foram comprometidos, embora ainda não haja confirmação sobre o possível roubo de informações de clientes ou parceiros.
Segundo informações fornecidas pela Hugging Face, o ataque foi facilitado por um dataset malicioso que explorou uma falha de segurança em sua plataforma, permitindo a execução de códigos arbitrários nos servidores. Isso possibilitou que os atacantes escalassem suas permissões e obtivessem acesso a partes adicionais da infraestrutura interna, conforme detalhado na comunicação da empresa.
A companhia tomou medidas imediatas ao revogar e rotacionar as credenciais afetadas, além de corrigir a vulnerabilidade que foi explorada. Em um alerta direcionado aos usuários, a Hugging Face recomendou que todos trocassem suas chaves armazenadas na plataforma e fizessem uma revisão cuidadosa em busca de atividades suspeitas em suas contas.
Um ponto relevante mencionado pela Hugging Face é que o ataque foi atribuído a um “agente de IA externo”, que teria realizado “milhares de ações individuais em uma nuvem temporária com comando e controle automáticos hospedados em serviços públicos”. Entretanto, a empresa não apresentou evidências para sustentar essa alegação quando questionada pelo portal TechCrunch.
O ataque foi detectado por meio de um sistema interno da Hugging Face, projetado para identificar anomalias e que utilizou um modelo de inteligência artificial para analisar os logs do servidor. Notavelmente, ao tentar empregar um modelo avançado oferecido por um provedor comercial (não nomeado), a análise foi impedida pelas proteções desse modelo. A empresa então optou por usar seu próprio modelo de linguagem local, o que também ajudou a evitar o envio de logs sensíveis para servidores externos.
A Hugging Face informou ainda ter comunicado o incidente às autoridades competentes e contratado especialistas forenses para investigar a violação e revisar suas práticas de segurança. No entanto, não ficou claro se uma auditoria de segurança havia sido realizada antes do ataque, e um porta-voz da empresa não respondeu a solicitações para comentar sobre o assunto.