Hugging Face getroffen door eerste volledig AI-gestuurde cyberaanval

AI-platform Hugging Face heeft bekendgemaakt dat het slachtoffer is geworden van een geavanceerde cyberaanval die volgens het bedrijf volledig werd uitgevoerd door een autonoom netwerk van AI-agents. Hoewel AI al langer wordt ingezet als hulpmiddel bij cybercriminaliteit, is dit volgens Hugging Face de eerste keer dat het een aanval heeft onderzocht waarbij de volledige aanvalsketen – van de eerste compromittering tot laterale verplaatsing binnen de infrastructuur – autonoom door AI-systemen werd aangestuurd, zonder dat er tijdens de aanval duidelijke aanwijzingen waren voor handmatige tussenkomst van een menselijke aanvaller.

Na uitgebreid forensisch onderzoek concludeerde Hugging Face dat de aanval een nieuwe ontwikkeling vertegenwoordigt in het dreigingslandschap. Waar aanvallers voorheen AI vooral gebruikten voor afzonderlijke taken, zoals phishing, malwareontwikkeling of het automatiseren van kwetsbaarheidsscans, werd in dit incident vrijwel het volledige aanvalsproces uitgevoerd door samenwerkende AI-agents die zelfstandig beslissingen namen en zich voortdurend aanpasten aan de omgeving.

Beperkte impact, maar wel interne systemen geraakt

Tijdens het incident verkregen de aanvallers ongeautoriseerde toegang tot een beperkt aantal interne datasets en verschillende interne servicecredentials. Volgens Hugging Face zijn er geen aanwijzingen dat publieke repositories, modellen, datasets, Spaces, container-images of gepubliceerde softwarepakketten zijn aangepast of besmet geraakt. Ook zijn er geen aanwijzingen dat gebruikersmodellen zijn gemanipuleerd of dat openbare AI-projecten zijn beïnvloed.

De impact bleef daarmee grotendeels beperkt tot interne systemen, maar het incident werd desondanks als ernstig geclassificeerd vanwege de geavanceerde aanvalsmethode en de snelheid waarmee de aanvallers zich door de infrastructuur konden bewegen.

Zwerm van autonome AI-agents

Uit het onderzoek bleek dat de aanval niet afkomstig was van één centraal aangestuurde malware-instantie, maar van een groot aantal kortlevende AI-processen die voortdurend werden aangemaakt en weer verdwenen. Gedurende de aanval werden vele duizenden afzonderlijke acties uitgevoerd.

Deze agents opereerden vanuit een groot aantal tijdelijke sandbox-omgevingen, waardoor traditionele detectiesystemen nauwelijks een vast patroon konden herkennen. Daarnaast maakte de infrastructuur gebruik van een zelfmigrerend command-and-control-mechanisme waarbij de aansturing voortdurend verhuisde tussen verschillende publieke internetdiensten. Hierdoor werd het vrijwel onmogelijk om de volledige aanval simpelweg te blokkeren door één server of IP-adres offline te halen.

Volgens Hugging Face vertoonde de aanval kenmerken van een gedistribueerde "AI-swarm", waarbij meerdere gespecialiseerde agents gelijktijdig verantwoordelijk waren voor verschillende onderdelen van de aanval, zoals verkenning, privilege-escalatie, credential harvesting en laterale verplaatsing.

Aanval begon in de data-processing pipeline

De eerste compromittering vond plaats binnen de data-processing pipeline van Hugging Face, een onderdeel waarin datasets automatisch worden verwerkt voordat zij beschikbaar komen voor gebruikers.

Het bedrijf erkent dat juist dergelijke AI-workflows een relatief groot aanvalsoppervlak vormen, omdat datasets, configuratiebestanden en templates regelmatig automatisch worden verwerkt.

De aanvaller maakte gebruik van twee afzonderlijke kwetsbaarheden die elkaar versterkten.

De eerste betrof een remote-code execution-pad binnen een dataset-loader, waardoor tijdens het verwerken van een kwaadaardige dataset ongewenste code kon worden uitgevoerd.

De tweede kwetsbaarheid maakte misbruik van template-injection binnen een datasetconfiguratie. Hierdoor kon aanvullende kwaadaardige code worden geïnjecteerd zonder direct op te vallen.

Door beide technieken te combineren wist de aanvaller code uit te voeren op een processing worker. Vanuit deze eerste toegang werden vervolgens aanvullende kwetsbaarheden benut om privileges uit te breiden naar het onderliggende systeem.

Van worker naar complete cloudomgeving

Nadat de eerste worker was gecompromitteerd, verzamelde de aanval automatisch beschikbare cloudcredentials, servicetokens en clusterreferenties.

Daarmee konden de AI-agents zich verder verplaatsen naar andere nodes binnen dezelfde infrastructuur.

Gedurende een weekend verspreidde de aanval zich lateraal over meerdere interne clusters. Daarbij werden voortdurend nieuwe toegangsrechten verzameld en automatisch gebruikt om verdere systemen binnen te dringen.

Volgens Hugging Face verliep dit proces grotendeels autonoom. De AI-agents bepaalden zelfstandig welke systemen interessant waren, welke credentials bruikbaar waren en welke vervolgstappen de grootste kans op succes boden.

Dit adaptieve gedrag maakte de aanval fundamenteel anders dan traditionele malware, die doorgaans vooraf geprogrammeerde stappen volgt.

Geen onbekende voor cyberaanvallen

Hoewel deze specifieke aanvalsvorm nieuw is voor Hugging Face, heeft het platform eerder te maken gehad met beveiligingsincidenten.

In 2022 werden kwetsbaarheden ontdekt waarbij API-tokens van populaire taalmodellen konden worden misbruikt om repositories aan te passen.

Een jaar later onderzocht Hugging Face verdachte activiteiten binnen het Spaces-platform, waarna beveiligingsmaatregelen verder werden aangescherpt.

Ook in 2025 maakten cybercriminelen misbruik van Hugging Face als distributieplatform voor Android-malware door schadelijke software te hosten tussen legitieme AI-projecten.

In al deze gevallen was Hugging Face vooral het platform waarop aanvallen plaatsvonden of waarvan misbruik werd gemaakt. Bij het recente incident was het bedrijf zelf rechtstreeks het doelwit.

AI hielp bij het forensisch onderzoek

Een opvallend aspect van het onderzoek was dat Hugging Face voor een belangrijk deel gebruikmaakte van AI om de aanval te reconstrueren.

Tijdens de analyse bleek echter dat diverse commerciële frontier-modellen onvoldoende bruikbaar waren voor diepgaand forensisch onderzoek.

Wanneer onderzoekers echte exploitcode, command-and-control-artefacten of kwaadaardige payloads aanboden ter analyse, blokkeerden de ingebouwde veiligheidsmechanismen regelmatig de verwerking van deze gegevens.

Volgens Hugging Face maken dergelijke guardrails momenteel onvoldoende onderscheid tussen een kwaadwillende gebruiker die een aanval wil uitvoeren en een beveiligingsonderzoeker die dezelfde code analyseert om een incident te onderzoeken.

Daardoor werd een deel van de geautomatiseerde analyse bemoeilijkt.

Open-weight model bood uitkomst

Om deze beperkingen te omzeilen voerde Hugging Face het grootste deel van de forensische analyse uiteindelijk uit met een open-weight taalmodel dat volledig op de eigen infrastructuur draaide.

Daardoor konden alle exploit-payloads, logbestanden, malwarefragmenten en command-and-control-gegevens lokaal worden verwerkt zonder dat gevoelige informatie de eigen omgeving verliet.

Volgens het bedrijf bood deze aanpak meer controle over het onderzoeksproces en voorkwam zij dat gevoelige incidentdata naar externe API-diensten hoefde te worden verzonden.

Securityprogramma's met minder beperkingen

Hugging Face merkt op dat sommige gespecialiseerde beveiligingsprogramma's inmiddels toegang bieden tot krachtigere AI-modellen met aanzienlijk minder restricties voor cybersecurityonderzoek.

Zo beschikken geselecteerde onderzoekers binnen beveiligingsprogramma's van grote AI-leveranciers over modellen die speciaal zijn afgestemd op defensief gebruik, waardoor exploitcode en malware uitgebreider kunnen worden geanalyseerd.

Deze modellen zijn echter uitsluitend beschikbaar voor zorgvuldig geselecteerde partners en onderzoekers die deelnemen aan besloten securityprogramma's.

Voor de bredere cybersecuritygemeenschap blijven open-weight modellen daardoor voorlopig de meest toegankelijke oplossing voor diepgaande incidentanalyse.

Nieuwe fase in cyberdreigingen

Het incident onderstreept volgens Hugging Face dat cyberaanvallen zich in hoog tempo ontwikkelen. Waar AI enkele jaren geleden vooral werd ingezet als ondersteunend hulpmiddel voor menselijke aanvallers, lijken autonome AI-systemen inmiddels in staat complete aanvalscampagnes grotendeels zelfstandig uit te voeren.

Daarmee verschuift de rol van kunstmatige intelligentie van assistent naar actieve uitvoerder van complexe cyberoperaties. Tegelijkertijd laat het incident zien dat dezelfde technologie ook een steeds belangrijkere rol speelt bij verdediging, incidentrespons en digitaal forensisch onderzoek.

Voor organisaties die AI-platformen ontwikkelen of beheren vormt dit een duidelijke waarschuwing dat traditionele beveiligingsmaatregelen alleen niet langer voldoende zijn. Beveiliging zal zich steeds meer moeten richten op het detecteren van adaptieve, autonome en gedistribueerde AI-aanvallen die zich dynamisch aanpassen aan hun doelwit en in staat zijn om zonder voortdurende menselijke aansturing complexe aanvalsketens uit te voeren.

Door: Drifter