وكيل ذكاء اصطناعي اخترق Hugging Face في عطلة نهاية أسبوع — 17,000 إجراء، ولا بشر
الاختراق
في 16 يوليو، كشفت Hugging Face عن أمر جديد تماماً: اقتحام لبنيتها الإنتاجية كان “مدفوعاً، من البداية إلى النهاية، بواسطة نظام وكيل ذكاء اصطناعي مستقل.”
لا يوجد إنسان جلس على لوحة مفاتيح. لم تُرسل أي رسالة تصيد. مجموعة بيانات خبيثة مرفوعة إلى خط أنابيب Hugging Face الخاص قامت بالمهمة، ووكيل ذكاء اصطناعي تولى الأمر من هناك.
خلال عطلة نهاية أسبوع، سجل أكثر من 17,000 إجراء فردي — رفع الصلاحيات، جمع بيانات الاعتماد، والتنقل أفقياً عبر المجموعات الداخلية. المهاجم عمل على سرب من البيئات المعزولة قصيرة العمر مع قيادة وتحكم مهاجرة ذاتياً تستضيفها خدمات عامة.
كيف عمل
كان المدخل عبر خط معالجة البيانات في Hugging Face — الحزام الناقل الذي يبتلع مجموعات البيانات المرفوعة من المستخدمين. مجموعة بيانات خبيثة استغلت مسارين لتنفيذ الأكواد:
- محمل أكواد عن بُعد، ميزة تهدف للسماح لمجموعات البيانات بتحديد منطق تحميل مخصص. تم تسليحها لتشغيل أكواد عشوائية.
- ثغرة حقن قوالب في معالجة إعدادات مجموعة البيانات، مما أعطى طريقاً ثانياً متكرراً لتنفيذ الأكواد على عامل معالجة.
بمجرد أن حصل الوكيل على موطئ قدم، رفع صلاحياته إلى مستوى العقدة، وجمع بيانات اعتماد السحابة والمجموعات، وتنقل أفقياً إلى عدة مجموعات داخلية. كل ذلك دون مشغل بشري.
Hugging Face أكدت أنه لا توجد نماذج أو مجموعات بيانات أو مساحات عامة تم العبث بها. سلسلة توريد البرمجيات (صور الحاويات والحزم) تم التحقق من نظافتها. ما زالوا يقيمون التأثير المحتمل على بيانات الشركاء والعملاء.
الكشف كان أيضاً بالذكاء الاصطناعي
الهجوم اكتشفه في البداية خط أنابيب Hugging Face الخاص للكشف عن الشذوذ القائم على النماذج اللغوية، الذي يرتب تل عناصر الأمن ويفصل الإشارات الحقيقية عن الضوضاء.
لإعادة بناء ما حدث، شغلت Hugging Face وكلاء تحليل قائمين على النماذج اللغوية على سجل أحداث المهاجم الكامل المكون من 17,000 حدث. ما كان يستغرق أياماً تم في ساعات. لأول مرة، كان كل من الهجوم والدفاع مؤتمت بالكامل.
مشكلة عدم التماثل
هذا الجزء جعلني أقرأ حتى ساعة متأخرة.
فريق أمن Hugging Face حاول استخدام النماذج المتطورة عبر APIs تجارية للتحليل الجنائي. لم ينجح. حواجز الأمان في تلك النماذج حجبت حمولات الهجوم وأكواد الاستغلال وأدوات القيادة والتحكم — بالضبط نوع البيانات التي يحتاجها مستجيب الحوادث لتحليلها.
انتهى بهم الأمر بتشغيل التحليل الجنائي على GLM 5.2، نموذج مفتوح الأوزان صيني، على بنيتهم التحتية الخاصة. كان لهذا فائدة غير مقصودة: لا بيانات مهاجم أو بيانات اعتماد غادرت بيئتهم.
نموذج المهاجم غير معروف — قد يكون نموذجاً مستضافاً بصلاحيات معدلة أو نموذجاً مفتوح الأوزان غير مقيد. على أي حال، المهاجم لم يكن مقيداً بأي سياسة استخدام، بينما فريق Hugging Face الجنائي كان محجوباً بواسطة أنظمة الأمان نفسها التي يفترض أن تحمي المنصات. كما ورد في منشورهم: “الدرس العملي للمدافعين: احصل على نموذج قادر يمكنك تشغيله على بنيتك التحتية الخاصة، مدقق وجاهز قبل وقوع حادثة.”
ماذا يعني هذا
سيناريو “المهاجم الوكيل” الذي كانت صناعة الأمن تتوقعه لم يعد نظرياً. الأدوات الهجومية المستقلة تخفض تكلفة تشغيل حملات متعددة المراحل وتعمل بسرعة الآلة. المنصات لا يمكنها الاعتماد على الدفاع البشري بعد الآن — الأرقام لا تتوافق عندما ينفذ مهاجم 17,000 إجراء خلال عطلة نهاية أسبوع.
Hugging Face أغلقت مساري تنفيذ الأكواد المستغلين، وأعادت بناء العقد المتأثرة، ودورت بيانات الاعتماد، وفرضت ضوابط دخول أكثر تشدداً. أبلغت الحادثة لسلطات إنفاذ القانون وتعمل مع خبراء جنائيين خارجيين.
لكن الدرس أوسع. إذا كانت Hugging Face — شركة أعمالها بالكامل هي بنية تحتية للذكاء الاصطناعي — غير محصنة ضد هجمات الوكلاء، فمعظم المنظمات غير محصنة أيضاً.
References
- Hugging Face Security Incident Disclosure — July 2026
- SecurityWeek: Hugging Face Hacked in Autonomous AI Attack
- BleepingComputer: Hugging Face warns an autonomous AI agent hacked its network
- CSA: Hugging Face’s Autonomous AI Agent Breach
- CryptoBriefing: Hugging Face hacked in autonomous AI attack that logged 17,000 actions