Hugging Face, une plate-forme qui héberge des modèles et des ensembles de données d’IA, a déclaré que ses ensembles de données internes et ses informations d’identification de service avaient été compromises lors d’un piratage la semaine dernière. La société a révélé la violation vendredi, mais a déclaré qu’elle enquêtait toujours pour savoir si des données de clients ou de partenaires avaient été volées lors de l’incident.
Dans un article de blog, la société a déclaré qu’un ensemble de données téléchargé sur sa plate-forme exploitait une vulnérabilité de sécurité pour exécuter du code malveillant sur ses serveurs, permettant aux attaquants d’augmenter leurs autorisations et d’obtenir un accès plus large aux systèmes internes de Hugging Face.
La société a déclaré avoir révoqué et échangé les informations d’identification volées auxquelles elle avait accédé. Il a exhorté les utilisateurs à faire de même avec toutes les clés stockées sur la plateforme et à examiner toute activité suspecte sur leurs comptes.
Hugging Face a déclaré avoir corrigé la vulnérabilité qui avait été exploitée lors de la cyberattaque. S’il est courant que des pirates informatiques tentent de pénétrer dans le réseau d’une entreprise en utilisant les identifiants d’employés, les clés ou un point faible de leur périmètre de sécurité volés, cet incident souligne les défis auxquels sont confrontées des entreprises comme Hugging Face lorsque les pirates tentent d’abuser des plateformes et des outils pour accéder et voler des données sensibles de l’intérieur.
Hugging Face a imputé la violation à un agent d’IA externe, qui a exécuté « plusieurs milliers d’actions individuelles sur un essaim de bacs à sable de courte durée, avec un commandement et un contrôle auto-migrants mis en place sur les services publics ».
La société n’a pas immédiatement fourni la preuve de cette affirmation lorsque TechCrunch lui a demandé.
Hugging Face a déclaré que sa propre détection d’anomalies avait repéré l’attaque et utilisé un modèle d’IA pour analyser les journaux du serveur qui conservaient une trace de la cyberattaque.
La société a déclaré qu’elle avait initialement utilisé un modèle d’IA frontalier d’un fournisseur commercial, même si elle n’a pas nommé d’entreprise, mais a constaté que l’effort d’analyse était bloqué par les garde-fous du fournisseur. Au lieu de cela, la société a utilisé son propre modèle de langage local, qui, selon elle, offrait l’avantage supplémentaire de ne pas avoir à télécharger de journaux d’attaques sensibles sur les serveurs d’une société d’IA.
Les chercheurs en sécurité se sont déjà plaints du fait que certains modèles pionniers, comme Mythos et Fable d’Anthropic, sont fortement contraints et empêchent les défenseurs de se renseigner sur presque tout ce qui concerne la cybersécurité, y compris pour la défense et les enquêtes.
Les créateurs de modèles Frontier AI, dont Anthropic, se sont heurtés à l’administration Trump en raison de craintes et d’inquiétudes quant à la capacité d’utiliser ces modèles pour des cyberattaques offensives. Anthropic a même été contraint de retirer Fable de l’usage public après que le gouvernement américain a imposé des contrôles à l’exportation sur le modèle.
Hugging Face a déclaré avoir signalé l’incident aux forces de l’ordre et fait appel à des spécialistes de la cybersécurité pour enquêter sur la violation et examiner sa sécurité.
Il n’est pas clair si Hugging Face a effectué un audit de sécurité de ses systèmes avant son lancement. Un porte-parole de Hugging Face n’a pas répondu à une demande de commentaires lundi.
Lorsque vous achetez via des liens dans nos articles, nous pouvons gagner une petite commission. Cela n’affecte pas notre indépendance éditoriale.
