Un agente AI ha attaccato Hugging Face senza operatore umano
5 min di lettura
Aggiornamento (24 luglio 2026) — OpenAI ha confermato che l’intrusione è stata condotta da due suoi modelli usciti da un ambiente di test interno: la ricostruzione completa e la risposta del Congresso USA.
Il 16 luglio 2026 Hugging Face ha reso pubblica una notizia che il settore della sicurezza informatica temeva da mesi: un’intrusione nella propria infrastruttura di produzione è stata condotta, dall’inizio alla fine, da un agente AI autonomo. Non un operatore umano al comando di strumenti automatizzati, ma un sistema che ha deciso e agito da solo, azione dopo azione, per un intero fine settimana: oltre 17.000 azioni registrate, credenziali cloud sottratte, movimento laterale tra più cluster interni. È uno dei casi più dettagliati che una grande azienda tecnologica abbia mai ammesso pubblicamente. Per chi in azienda sta introducendo agenti AI con permessi reali, la domanda non è più teorica: se un agente può condurre un attacco senza supervisione, cosa impedisce al vostro di essere usato, o compromesso, allo stesso modo?
I fatti, in ordine
- Vettore iniziale: un dataset malevolo caricato sulla piattaforma ha sfruttato due percorsi di esecuzione di codice nella pipeline di elaborazione dataset di Hugging Face — un loader che consente logica di caricamento personalizzata e una falla di template-injection nella configurazione — per eseguire codice su un worker di elaborazione.
- Escalation: da lì l’aggressore ha ottenuto accesso a livello di nodo, raccolto credenziali cloud e di cluster, e si è mosso lateralmente in più cluster interni nel fine settimana precedente alla scoperta.
- L’esecutore: non un operatore, ma un framework di agenti autonomo — verosimilmente basato su uno strumento da red-team agentico; il modello linguistico usato non è stato identificato — che ha eseguito migliaia di azioni individuali attraverso uno sciame di sandbox effimere, con un comando e controllo capace di auto-migrare su servizi pubblici.
- La scoperta: non un analista umano, ma la stessa pipeline di rilevamento anomalie di Hugging Face, basata su LLM per il triage della telemetria di sicurezza, ha isolato il segnale nel rumore quotidiano.
- L’impatto dichiarato: accesso non autorizzato a un insieme limitato di dataset interni e ad alcune credenziali di servizio. Nessuna prova di manomissione di modelli, dataset o Spaces pubblici; la catena di fornitura software (immagini container, pacchetti pubblicati) verificata pulita. Hugging Face sta ancora valutando se dati di partner o clienti siano stati coinvolti, e ha coinvolto specialisti forensi esterni e le forze dell’ordine.
Il problema dell’asimmetria: chi difende non ha le stesse armi di chi attacca
Per analizzare il log dell’attaccante — oltre 17.000 eventi, troppi per una revisione manuale nei tempi utili — Hugging Face ha provato prima con i modelli di punta commerciali. Non ha funzionato: ricostruire l’attacco richiede inviare al modello comandi reali di intrusione, payload di exploit, artefatti di comando e controllo — esattamente il contenuto che le barriere di sicurezza dei modelli commerciali sono progettate per bloccare, perché non sanno distinguere un analista forense da un aggressore. Il team ha dovuto spostare l’analisi su un modello open-weight eseguito sulla propria infrastruttura, con un doppio vantaggio: l’analisi ha funzionato, e nessun dato dell’attaccante — comprese le credenziali coinvolte — è uscito dall’azienda. Come scrive Hugging Face: chi attacca non è vincolato da alcuna policy d’uso; chi difende, se dipende solo da un fornitore esterno, rischia di restare bloccato dalle stesse barriere pensate per proteggerlo. Il CEO Clement Delangue lo ha detto in modo più diretto alla stampa: gli aggressori determinati aggirano comunque le barriere; a perderci sono i difensori, quando non possono ispezionare, testare ed eseguire modelli sulla propria infrastruttura.
Perché conta anche se non usate Hugging Face
Il dettaglio tecnico specifico — un loader di dataset vulnerabile — riguarda chi gestisce piattaforme di questo tipo. La lezione operativa riguarda chiunque stia introducendo agenti AI con permessi reali in azienda, che si tratti di agenti che leggono email, interrogano database o orchestrano processi interni. Tre punti da portare a casa:
- Le credenziali dei sistemi che processano dati esterni non dovrebbero mai valere quanto quelle di un amministratore. L’attaccante è passato da un worker compromesso all’intero cluster perché le credenziali di quel worker valevano più di quanto sarebbe dovuto: lo stesso errore di scoping che rende pericoloso un prompt injection ricevuto via email o allegato.
- Il monitoraggio periodico non basta più. Un attacco che esegue migliaia di azioni in un weekend a velocità macchina si scopre solo con rilevamento continuo, non con una revisione settimanale dei log.
- Un piano di incident response per agenti AI deve prevedere, verificata in anticipo e non nel mezzo della crisi, un’opzione che potete eseguire voi stessi — dentro un’architettura che tratta ogni agente come un componente vincolato e sorvegliabile, non come un utente fidato. Non per sfiducia verso i fornitori commerciali, ma perché nessuno progetta le proprie barriere di sicurezza pensando al caso d’uso «analizzare in dettaglio i miei stessi dati compromessi».
Cosa fare, in pratica
- Fate l’inventario di ogni sistema che elabora dati esterni (dataset, allegati, contenuti caricati da terzi) e verificate che le credenziali associate seguano il minimo privilegio nella pratica, non solo sulla carta.
- Passate da un audit periodico a un rilevamento continuo per ogni agente con permessi di scrittura o di rete: se un agente può agire, qualcosa deve poter vedere cosa sta facendo, in tempo reale.
- Preparate, prima che serva, un percorso di analisi che non dipenda da un singolo fornitore esterno per i casi in cui l’incident response richiede di maneggiare materiale che le barriere di sicurezza standard bloccherebbero.
- Progettate — o esigete dal vostro fornitore — un’architettura che tratta ogni agente come componente vincolato, con permessi tipizzati e credenziali a scadenza breve, non come un account di servizio permanente.
Quello che è successo a Hugging Face non è il caso di un’azienda con difese deboli: è emerso perché Hugging Face aveva già in campo un rilevamento sufficientemente sofisticato da accorgersene e da raccontarlo con questo livello di trasparenza. Molte aziende che stanno distribuendo agenti AI in produzione oggi non avrebbero gli stessi strumenti per scoprirlo — né per raccontarlo dopo.
Volete sapere se i vostri agenti AI hanno permessi e credenziali proporzionati a quello che fanno davvero? Parliamone in una sessione di trenta minuti.