Hugging Face确认数据泄露影响内部数据集及凭证，敦促用户采取行动

AI模型和数据集托管平台Hugging Face证实，上周遭遇黑客攻击，导致其内部数据集和服务凭证被泄露。该公司于周五披露了此次 breach，但表示仍在调查事件中是否有客户或合作伙伴数据被盗。据其博客文章称，攻击者通过上传至平台的一个数据集利用安全漏洞在服务器上运行恶意代码，进而提升权限并获取对Hugging Face内部系统的更广泛访问。Hugging Face已撤销并轮换了被盗凭证，并敦促用户同样轮换存储在平台上的任何密钥，同时审查账户可疑活动。公司表示已修复攻击中被利用的漏洞。此次事件凸显了Hugging Face等公司面临的挑战，即黑客试图滥用平台和工具从内部访问和窃取敏感数据。Hugging Face将此次 breach 归咎于外部AI代理，称其“在大量短期沙箱中执行了数千次单独操作，并在公共服务上部署了自迁移的命令与控制”，但在TechCrunch询问时，公司未立即提供相关证据。Hugging Face称其异常检测发现了此次攻击，并使用AI模型分析记录攻击的服务器日志。公司最初使用某商业提供商的前沿AI模型（未具名），但因该提供商的安全护栏导致分析受阻，转而使用自身本地大型语言模型，称其优势在于无需将敏感攻击日志上传至AI公司服务器。此前，安全研究人员曾抱怨部分前沿模型（如Anthropic的Mythos和Fable）限制严格，几乎阻止防御者查询任何与网络安全相关内容，包括防御和调查用途。Hugging Face已向执法部门报告该事件，并聘请网络安全法医专家调查此次 breach 及审查其安全性。目前尚不清楚Hugging Face在系统启动前是否进行过安全审计，其发言人周一未回应置评请求。