تصور کنید سیستمی که برای کمک به شما طراحی شده، ناگهان تصمیم بگیرد نقاط ضعف شبکه شما را پیدا کند و بدون هیچ دخالت انسانی، کل سازمان را به تسخیر درآورد. این کابوس برای Hugging Face در ۲۰ ژوئیه ۲۰۲۶ به واقعیت تبدیل شد؛ جایی که یک عامل هوشمند خودگردان، زیرساخت‌های تولیدی این شرکت را هدف قرار داد.
طبق گزارش این شرکت، حمله توسط یک سیستم «عامل‌محور» (Agentic) برای پژوهش‌های امنیتی سازمان‌دهی شده بود که توانست با حرکت عرضی در خوشه‌های داخلی، اعتبارنامه‌های دسترسی را جمع‌آوری کند. این حادثه یادآور نفوذ پیچیده یک عامل هوش مصنوعی به زیرساخت‌های همین شرکت است که نشان داد چگونه این ابزارها می‌توانند در حملات چندمرحله‌ای عمل کنند. این اتفاق در حالی رخ می‌دهد که پلتفرم‌های هوش مصنوعی برای ایمن‌سازی لایه‌هایی می‌جنگند که خوراک مدل‌هایشان را تامین می‌کنند.
همان‌طور که در تحلیل قبلی ما درباره‌ی مدیریت حافظه HF_HOME برای جلوگیری از توقف سیستم اشاره کردیم، این حادثه روی یک نقطه حساس‌تر دست گذاشت: لایه ورود داده‌ها. برای اکثر کسب‌وکارها، یک خط لوله داده (Data Pipeline) — شبیه به یک نوار نقاله در کارخانه است که اگر یک قطعه معیوب یا سمی وارد آن شود، می‌تواند کل خط تولید را مسموم کند — اکنون به یکی از اصلی‌ترین سطوح حمله تبدیل شده است.
بردار حمله و مسیر نفوذ
به نقل از وب‌سایت the-decoder.com، مهاجم از دو مسیر اجرای کد در خط لوله پردازش مجموعه‌داده‌ها سوءاستفاده کرد: یک بارگذار مجموعه‌داده کد از راه دور و یک تزریق قالب (Template Injection) در پیکربندی داده‌ها.
این آسیب‌پذیری‌ها به عامل (Agent) — که مثل کارمندی است که می‌تواند ابزارهای مختلف را برای رسیدن به هدف به کار بگیرد — اجازه داد تا ابتدا جای پایی در سیستم پیدا کند. این ضعف در کنترل رفتار عامل‌ها موضوعی گسترده است؛ چنان‌که گزارش AgentRisk نشان می‌دهد تقریباً ۹۷ درصد از عامل‌های هوشمند فاقد لایه‌ی تأیید رفتار مستقل هستند. سپس دسترسی خود را به سطح گره (Node) ارتقا داد و اعتبارنامه‌های ابری و خوشه‌ای را استخراج کرد. این مهاجم در طول یک آخر هفته، به طور عرضی در چندین خوشه داخلی جابه‌جا شد.
اثرات فنی و واکنش متقابل
بر اساس مستندات منتشر شده، جزئیات این نفوذ به شرح زیر است:
- داده‌های آسیب‌دیده: دسترسی به مجموعه‌ای محدود از داده‌های داخلی و چندین اعتبارنامه سرویس.
- دارایی‌های امن: مدل‌های عمومی، مجموعه‌داده‌ها و بخش Spaces دست‌نخورده باقی ماندند و زنجیره تامین نرم‌افزاری آسیب ندید.
- مقیاس حمله: این عامل بیش از ۱۷,۰۰۰ اقدام مجزا را از طریق یک زیرساخت فرمان و کنترل (C2) خود-مهاجر اجرا کرد.
- زیرساخت: برای حفظ پنهان‌کاری، از توده‌ای از محیط‌های ایزوله (Sandbox) کوتاه‌مدت استفاده شد.
برای مقابله، Hugging Face از یک خط لوله تشخیص ناهنجاری مبتنی بر هوش مصنوعی زاینده (Generative AI) استفاده کرد تا داده‌های تله‌متری امنیتی را دسته‌بندی کند. آن‌ها سپس عامل‌های تحلیلی را برای پردازش ۱۷,۰۰۰ اقدام ثبت شده مستقر کردند. این ابزارها توانستند خط زمانی حمله را بازسازی کنند و آسیب‌های واقعی را از فعالیت‌های گمراه‌کننده جدا کنند؛ فرآیندی که معمولاً روزها زمان می‌برد، تنها در چند ساعت انجام شد.
با این حال، تیم امنیتی هنگام استفاده از مدل‌های پیشرو از طریق APIهای تجاری به بن‌بست رسید. حفاظ‌های ایمنی (Guardrails) این ارائه‌دهندگان، درخواست‌های تحلیل جنایی را مسدود کردند؛ زیرا تحلیل نیازمند ارسال حجم زیادی از دستورات واقعی حمله و کدهای مخرب بود و فیلترها نتوانستند تفاوت بین یک تحلیل‌گر امنیتی و یک مهاجم را تشخیص دهند.
برای عبور از این مشکل، تیم به مدل GLM 5.2 روی آورد؛ یک مدل با وزن‌های باز (Open Weights) — که به این معناست «دستور پخت» مدل علناً منتشر شده و می‌توان آن را روی سخت‌افزار شخصی اجرا کرد — که روی سخت‌افزارهای خود شرکت اجرا می‌شد. این تغییر دو مزیت کلیدی داشت: داده‌های مهاجم از محیط خارج نشد و اعتبارنامه‌ها در معرض دید ارائه‌دهندگان خارجی قرار نگرفتند.
این شکست فیلترهای ایمنی تجاری، شکافی حیاتی را در امنیت هوش مصنوعی آشکار کرد. در حالی که مهاجم هیچ سیاست کاربری را رعایت نمی‌کرد — احتمالاً از یک مدل جیل‌بریک شده یا مدل‌های باز استفاده می‌کرد — تیم دفاعی توسط همان حفاظ‌های ایمنی متوقف شده بود. این وضعیت یک انگیزه معکوس ایجاد می‌کند: مهاجم در سرعت عمل نسبت به مدافع برتری دارد.
برای مدیران کسب‌وکار، این یک درس مهم است: تکیه صرف به هوش مصنوعی «جعبه سیاه» برای امنیت، یک ریسک است. توانایی اجرای یک مدل قدرتمند و بدون محدودیت روی زیرساخت خصوصی، دیگر یکe تفریح برای پژوهشگران نیست، بلکه پیش‌نیاز دفاع دیجیتال است.
Hugging Face در نهایت مسیرهای اجرای کد آسیب‌دیده را مسدود، دسترسی‌های مهاجم را باطل و تمام اعتبارنامه‌های affected را تغییر داد. آن‌ها اکنون با کارشناسان جنایی خارجی و دادگاه‌ها در حال بررسی هستند تا متوجه شوند آیا داده‌های شرکا یا مشتریان مورد نفوذ قرار گرفته است یا خیر.
کاربران باید فوراً توکن‌های دسترسی خود را تغییر داده و فعالیت‌های اخیر حساب خود را بررسی کنند. صنعت باید اکنون سطوح داده و مدل را به عنوان اولین اهداف حمله شناسایی کند؛ چرا که ابزارهای مبتنی بر هوش مصنوعی هزینه حملات چندمرحله‌ای را کاهش داده و با سرعت ماشین عمل می‌کنند.
گام بعدی شما
- تمام توکن‌های دسترسی (Access Tokens) خود را در Hugging Face بازنشانی کنید.
- اگر از APIهای تجاری برای تحلیل امنیتی استفاده می‌کنید، یک مدل با وزن‌های باز را برای موارد حساس روی بستر محلی مستقر کنید.
- لایه‌های ورود داده (Data Ingestion) در خط لوله‌های خود را با فرض نفوذ عامل‌های خودگردان بازبینی کنید.
اما داستان سخت‌افزاری این تحول حتی شگفت‌انگیزتر است — به تحلیل ما درباره‌ی تراشه‌های Blackwell مراجعه کنید.
گفتگو