Crédito da imagem: TechCrunch
Hugging Face investiga vazamento de dados após ataque cibernético
No início da semana passada, a Hugging Face revelou que sofreu um incidente de segurança que comprometeu seus conjuntos de dados internos e credenciais de serviço. A empresa informou o ocorrido na quinta-feira, mas ressalta que ainda está investigando se houve roubo de informações de clientes ou parceiros durante o episódio.
Em um comunicado publicado em seu blog oficial, a Hugging Face explicou que um conjunto de dados carregado no ambiente da plataforma foi utilizado para explorar uma vulnerabilidade de segurança. Esse exploit permitiu aos aventureiros elevar seus privilégios e obter acesso mais amplo aos sistemas internos da empresa.
A organização já tomou medidas para revogar e redefinir as credenciais comprometidas, aconselhando os usuários a fazerem as mesmas chaves armazenadas na plataforma. Além disso, pediu que os clientes verificassem atividades suspeitas em seus perfis.
A Hugging Face confirmou que corrigiu a falha de segurança explorada no ataque. Apesar da comunidade cibernética estar acostumada com tentativas de invasão via credenciais roubadas ou brechas, o episódio destaca os desafios enfrentados pelas empresas como a Hugging Face ao lidar com ameaças que usam plataformas e ferramentas para acesso a dados seguros.
Segundo a empresa, a violação foi atribuída a um agente de inteligência artificial externa. Esse agente executou “milhares de ações individuais em uma série de ambientes temporários, com controle de comandos migratórios em serviços públicos”, segundo o relato.
A Hugging Face não apresentou evidências imediatas para respaldar essa afirmação quando questionado pelo TechCrunch. A empresa destacou que detectou uma ameaça por meio de um sistema de monitoramento anômalo, que utilizou um modelo de IA para analisar logs de servidores.
Inicialmente, a Hugging Face tentou usar um modelo avançado de IA fornecido por uma empresa comercial, embora não tenha sido revelado qual. No entanto, o uso foi bloqueado por restrições impostas pela provedora. A solução adotada foi o uso de um modelo local de linguagem grande desenvolvido internamente, evitando a necessidade de enviar logs sensíveis para servidores terceiros.
Especialistas em segurança já usaram modelos críticos avançados como Mythos e Fable da Anthropic por restrições severas que limitam pesquisas relacionadas à cibersegurança, incluindo investigações de defesa. A própria Anthropic causou controvérsias com o governo norte-americano sobre o uso potencial desses modelos para ataques cibernéticos ofensivos.
A Hugging Face informou que notificou órgãos de segurança pública e recorreu a especialistas em forense digital para investigar o incidente. Não há informações claras se a empresa realizou um auditoria prévia de segurança antes do lançamento da plataforma. Um porta-voz não respondeu aos pedidos de comentários na segunda-feira.
Fontes: Hugging Face, TechCrunch
Com informações do Techcrunch
