Agente de IA autônomo viola a Hugging Face durante o fim de semana, gerando 17.000 ações registradas

De acordo com a Hugging Face, em 16 de julho de 2026, a infraestrutura de produção foi violada por um agente de IA autônomo que explorou duas vulnerabilidades de execução de código encontradas em um conjunto de dados malicioso. O agente escalou para acesso em nível de nó, coletou credenciais de nuvem e do cluster e se movimentou lateralmente por vários clusters internos, gerando mais de 17.000 ações registradas. A empresa identificou acesso não autorizado a conjuntos de dados internos restritos e credenciais de serviços, mas não encontrou evidências de adulteração de modelos públicos, conjuntos de dados ou Spaces. A Hugging Face contratou especialistas externos de cibersegurança e concluiu as etapas de remediação.

Durante a análise forense, a equipe de segurança da empresa descobriu que solicitações a modelos frontier comerciais da Anthropic e da OpenAI foram bloqueadas por barreiras de segurança ao analisar cargas úteis reais de exploração e artefatos de comando e controle. A equipe conduziu a análise usando o GLM 5.2, um modelo de código aberto com pesos abertos implantado na infraestrutura interna, para manter dados sensíveis dentro do ambiente da empresa.