Cyberangriff auf Hugging Face durch autonomes KI-System und die Herausforderungen der Verteidigung

Die KI-Plattform Hugging Face hat einen Sicherheitsvorfall offengelegt, der Teile ihrer Produktionsinfrastruktur betraf. Der Vorfall wurde nach Unternehmensangaben vollständig von einem autonomen KI-Agentensystem durchgeführt. Hugging Face gibt an, den Angriff maßgeblich mit eigenen KI-Tools erkannt und analysiert zu haben.

Nach Angaben von Hugging Face erlangten die Angreifer unautorisierten Zugriff auf einen begrenzten Satz interner Datensätze sowie auf verschiedene Anmeldeinformationen, die von Hugging Face-Diensten verwendet werden. Öffentliche Modelle, Datensätze und Spaces wurden demnach nicht manipuliert, und die Software-Lieferkette war nicht betroffen. Eine Untersuchung, ob Partner- oder Kundendaten kompromittiert wurden, ist noch im Gange.

Ein manipulierter Datensatz als Einfallstor

Der Angriff begann laut Hugging Face an einem kritischen Punkt jeder KI-Plattform: der Datenverarbeitungspipeline. Ein manipulierter Datensatz nutzte zwei Code-Ausführungspfade in der Datensatzverarbeitung aus, insbesondere einen Remote-Code-Datensatzlader und eine Template-Injection in einer Datensatzkonfiguration.

Von dort aus gelang es dem Angreifer, auf Node-Ebene vorzudringen, Cloud- und Cluster-Anmeldeinformationen zu sammeln und sich über ein Wochenende hinweg seitlich über mehrere interne Cluster zu bewegen. Ein autonomes Agenten-Framework, das auf einem agentischen Sicherheitsforschungs-Harness aufbaute, orchestrierte die gesamte Kampagne, so das Unternehmen.

Hugging Face gibt an, nicht zu wissen, welches Sprachmodell den Angriff angetrieben hat. Das System führte Tausende einzelner Aktionen durch einen Schwarm kurzlebiger Sandboxes aus und nutzte eine selbstmigrierende Command-and-Control-Infrastruktur, die auf öffentlichen Diensten lief. Das Unternehmen klassifiziert den Vorfall als das "agentische Angreifer"-Szenario, das die Branche seit einiger Zeit prognostiziert hat.

KI-gestützte Analyse verkürzte Untersuchungszeit von Tagen auf Stunden

Hugging Face entdeckte den Angriff eigenen Angaben zufolge durch eine KI-gestützte Anomalieerkennungspipeline, die LLM-basiertes Triage auf Sicherheitstelemetriedaten durchführt. Um die über 17.000 aufgezeichneten Angreiferaktionen zu verstehen, setzte das Unternehmen LLM-gesteuerte Analyseagenten ein.

Diese Agenten rekonstruierten die Zeitachse, extrahierten Indikatoren für Kompromittierungen, ordneten betroffene Anmeldeinformationen zu und trennten tatsächliche Schäden von Täuschungsaktivitäten. Arbeiten, die normalerweise Tage in Anspruch genommen hätten, wurden nach Angaben des Unternehmens in Stunden erledigt.

Kommerzielle KI-Sicherheitsfilter blockierten die eigene Verteidigung

Nach Angaben von Hugging Face stieß das Sicherheitsteam zunächst auf Probleme, als es versuchte, die Angriffslogs mithilfe von Frontier-Modellen hinter kommerziellen APIs zu analysieren. Die Sicherheitsschutzmaßnahmen der Anbieter blockierten die Anfragen, da sie einen Incident Responder nicht von einem Angreifer unterscheiden konnten. Die Analyse erforderte die Übermittlung großer Mengen realer Angriffsbefehle, Exploit-Payloads und C2-Artefakte, die alle die Filter auslösten.

Das Unternehmen griff daraufhin auf das Open-Weight-Modell GLM 5.2 zurück, das auf der eigenen Infrastruktur lief. Dies hatte nach Angaben des Unternehmens zwei Vorteile: keine Angreiferdaten und keine der referenzierten Anmeldeinformationen verließen die eigene Umgebung.

"Wir wissen nicht, welches Modell die Agenten des Angreifers angetrieben hat, ob ein 'jailbroken' gehostetes Modell oder ein uneingeschränktes Open-Weight-Modell; so oder so war der Angreifer an keine Nutzungsrichtlinien gebunden, während unsere eigene forensische Arbeit durch die Schutzmaßnahmen der gehosteten Modelle blockiert wurde, die wir zuerst ausprobiert haben", schrieb Hugging Face.

Die praktische Lehre für Verteidiger ist laut Unternehmen, ein leistungsfähiges Modell auf der eigenen Infrastruktur bereitzuhalten, bevor ein Vorfall eintritt. Hugging Face fügt hinzu, dass dies kein Argument gegen Sicherheitsmaßnahmen bei gehosteten Modellen sei.

Reaktion von Hugging Face und offene Fragen

Hugging Face gibt an, die ausgenutzten Code-Ausführungspfade geschlossen, den Zugriff des Angreifers widerrufen, kompromittierte Nodes neu aufgebaut und betroffene Anmeldeinformationen geändert zu haben. Das Unternehmen hat zudem die Zugriffskontrollen verschärft und seine Erkennungssysteme verbessert. Hugging Face arbeitet mit externen Cybersicherheits-Forensikexperten zusammen und hat den Vorfall den Strafverfolgungsbehörden gemeldet. Vorsorglich empfiehlt das Unternehmen allen Benutzern, ihre Zugangs-Tokens zu erneuern und die jüngsten Kontoaktivitäten zu überprüfen.

Der Vorfall bestätigt, dass autonome, KI-gesteuerte Angriffswerkzeuge keine bloße Theorie mehr sind. Laut Hugging Face senken sie die Kosten für umfangreiche, mehrstufige Kampagnen und agieren mit Maschinengeschwindigkeit. Das Unternehmen argumentiert, dass Daten- und Modelloberflächen als erstklassige Angriffsflächen behandelt werden müssen und dass Verteidiger eigene KI benötigen, um Schritt zu halten.

Hugging Face bezeichnet die Tatsache, dass kommerzielle Sicherheitsfilter die eigene forensische Arbeit blockierten, als eine Lücke, auf die sich die Branche vorbereiten sollte. Allerdings ist das Unternehmen auch eine der größten Plattformen für Open-Source-KI-Modelle und hat ein klares Geschäftsinteresse daran, offene Modelle als unverzichtbar für Sicherheitsarbeiten darzustellen. Die Schlussfolgerung, dass Verteidiger unbedingt eigene Open-Weight-Modelle zur Hand haben müssen, ist daher nicht gänzlich uneigennützig.

Bibliographie

1. Security incident disclosure — July 2026. (2026, July 15). Hugging Face.
2. Bastian, M. (2026, July 20). Hugging Face says an AI agent hacked its infrastructure, and it used AI to fight back. The Decoder.
3. Whittaker, Z. (2026, July 20). Hugging Face confirms breach affected internal datasets and credentials, urges users to take action. TechCrunch.
4. Sabin, S. (2026, July 20). Hugging Face says AI agent behind internal breach. Axios.
5. Arghire, I. (2026, July 20). Hugging Face Hacked in Autonomous AI Attack. SecurityWeek.
6. Constantin, A. M. (2026, July 20). An AI agent hacked Hugging Face. Another AI caught it. The Next Web.
7. Zorz, Z. (2026, July 20). Hugging Face breached by autonomous AI agent. Help Net Security.
8. Forlini, E. (2026, July 20). Hugging Face turned to Chinese open source AI model after experiencing autonomous cyber attack. Fortune.
9. AI company hit by hack entirely carried out by artificial intelligence. (2026, July 20). The Independent.
10. Hugging Face forced to unleash AI to fight off autonomous AI-powered cyberattack. (2026, July 20). Cybernews.