Hugging Face gehackt

Ein Sicherheitsvorfall bei Hugging Face zeigt, dass nicht nur KI-Modelle, sondern auch Datensätze und Verarbeitungspipelines zur Angriffsfläche werden. Die Angreifer erbeuteten interne Daten und Zugangsdaten. Eine Manipulation öffentlich verfügbarer Modelle wurde bislang nicht festgestellt.

Hugging Face hat einen Einbruch in Teile seiner Produktionsinfrastruktur bestätigt. Nach Angaben des Unternehmens erhielten die Angreifer Zugriff auf eine begrenzte Zahl interner Datensätze sowie auf mehrere von Hugging-Face-Diensten verwendete Zugangsdaten.

Ob dabei auch Daten von Kunden oder Partnern betroffen waren, war zum Zeitpunkt der am 16. Juli 2026 veröffentlichten Sicherheitsmeldung noch nicht abschließend geklärt. Hugging Face will potenziell betroffene Parteien direkt informieren. Hinweise auf eine Manipulation öffentlich verfügbarer Modelle, Datensätze oder Spaces gebe es bislang nicht. Auch veröffentlichte Softwarepakete und Container-Images seien überprüft worden und nach aktuellem Stand nicht betroffen.

Angriff begann in der Datenverarbeitung

Der Einstiegspunkt lag laut Hugging Face in der Verarbeitung eines manipulierten Datensatzes. Dieser missbrauchte zwei Möglichkeiten zur Codeausführung: einen Dataset-Loader für externen Code sowie eine Template-Injection innerhalb einer Dataset-Konfiguration.

Damit konnten die Angreifer Code auf einem Verarbeitungs-Worker ausführen. Von dort aus sollen sie Zugriff auf Node-Ebene erlangt, Cloud- und Cluster-Credentials gesammelt und sich anschließend in mehrere interne Cluster bewegt haben.

Der Vorfall verdeutlicht damit ein grundlegendes Risiko von KI-Plattformen: Datensätze sind nicht zwangsläufig passive Dateien. Abhängig von Format, Loader und Verarbeitungskette können sie Code, Konfigurationen oder andere aktive Bestandteile enthalten. Für Unternehmen sollten externe Datensätze deshalb denselben Sicherheitsprüfungen unterliegen wie fremder Quellcode und Softwarepakete.

Autonomer KI-Agent laut Hugging Face beteiligt

Hugging Face führt den Angriff auf ein autonom arbeitendes KI-Agentensystem zurück. Das verwendete Framework soll Tausende einzelne Aktionen über kurzlebige Sandbox-Umgebungen ausgeführt und seine Command-and-Control-Infrastruktur über öffentliche Dienste verlagert haben. Welches Sprachmodell dabei eingesetzt wurde, ist nicht bekannt.

Die Zuschreibung ist bislang jedoch nicht unabhängig bestätigt. Auf Nachfrage von TechCrunch legte Hugging Face zunächst keine zusätzlichen Belege für die behauptete vollständig autonome Steuerung vor. Belastbar bestätigt sind daher vor allem der Einbruch, der technische Angriffsweg sowie der Zugriff auf interne Datensätze und Credentials. Die genaue Rolle des KI-Agenten beruht derzeit auf der Analyse des Unternehmens.

Zugangsdaten ausgetauscht und Systeme neu aufgebaut

Nach eigenen Angaben hat Hugging Face die beiden ausgenutzten Codeausführungspfade geschlossen. Kompromittierte Nodes seien neu aufgebaut und die Zugänge der Angreifer aus den betroffenen Clustern entfernt worden.

Darüber hinaus habe das Unternehmen betroffene Credentials und Tokens widerrufen beziehungsweise ausgetauscht. Zusätzliche Sicherheitskontrollen für Cluster, strengere Zulassungsregeln und schnellere Alarmierungsprozesse sollen das Risiko vergleichbarer Angriffe reduzieren. Externe Forensiker und Strafverfolgungsbehörden wurden eingeschaltet.

Nutzern empfiehlt Hugging Face vorsorglich, ihre Access-Tokens zu rotieren und die jüngsten Kontoaktivitäten auf verdächtige Vorgänge zu prüfen.

KI half bei Erkennung und Forensik

Auch bei der Aufklärung des Angriffs setzte Hugging Face nach eigenen Angaben KI ein. Eine LLM-gestützte Analyse von Sicherheitstelemetrie habe die auffälligen Aktivitäten miteinander verknüpft und damit die Untersuchung ausgelöst.

Für die Rekonstruktion wurden mehr als 17.000 protokollierte Ereignisse analysiert. KI-Agenten halfen laut Unternehmen dabei, den zeitlichen Ablauf nachzuvollziehen, Indicators of Compromise zu extrahieren und festzustellen, welche Zugangsdaten berührt wurden.

Zunächst habe Hugging Face dafür kommerzielle KI-APIs einsetzen wollen. Deren Sicherheitsfilter hätten jedoch Anfragen mit realen Exploit-Befehlen, Angriffskommandos und Command-and-Control-Artefakten blockiert. Die Analyse sei deshalb mit dem offen gewichteten Modell GLM 5.2 innerhalb der eigenen Infrastruktur erfolgt. Dadurch hätten weder Angriffsdaten noch darin enthaltene Credentials die Unternehmensumgebung verlassen.

Was IT-Entscheider daraus ableiten sollten

Für Unternehmen ist weniger die spektakuläre Zuschreibung an einen KI-Agenten entscheidend als der ursprüngliche Angriffsweg. Wer externe Modelle und Datensätze automatisiert verarbeitet, erweitert seine Software-Lieferkette um zusätzliche, häufig unzureichend kontrollierte Komponenten.

Dataset-Worker und andere Verarbeitungsdienste sollten deshalb stark isoliert und mit möglichst wenigen Berechtigungen betrieben werden. Cloud-, Kubernetes- und API-Zugangsdaten sollten kurzlebig, fein abgestuft und für die jeweilige Aufgabe begrenzt sein. Ein kompromittierter Worker darf nicht automatisch den Weg in weitere Cluster oder interne Systeme öffnen.

Ebenso wichtig sind verbindliche Prüfprozesse für externe Modelle, Datensätze, Loader und Templates. Dazu gehören kontrollierte Sandbox-Umgebungen, Netzwerkbeschränkungen, signierte Artefakte, Secret-Scanning und die Überwachung ungewöhnlicher Zugriffe.

Der Einsatz lokaler KI-Modelle für Incident Response kann ebenfalls sinnvoll sein – insbesondere dann, wenn forensische Daten, Zugangsdaten oder interne Protokolle nicht an externe API-Anbieter übertragen werden dürfen. Solche Systeme müssen allerdings vor einem Vorfall geprüft, abgesichert und in die bestehenden Notfallprozesse integriert werden.

Fazit

Der Vorfall bei Hugging Face zeigt, wie eng KI-Sicherheit, Cloud-Sicherheit und klassische Supply-Chain-Security inzwischen miteinander verbunden sind. Externe Datensätze können zum Einstiegspunkt werden, wenn ihre Verarbeitung Code ausführt und die beteiligten Systeme über weitreichende Berechtigungen verfügen.

Ob der Angriff tatsächlich vollständig von einem autonomen KI-Agenten gesteuert wurde, bleibt vorerst offen. Für IT-Verantwortliche ist die zentrale Lehre dennoch eindeutig: KI-Pipelines benötigen dieselbe Isolation, Zugriffskontrolle und Überwachung wie andere produktive Software- und Cloud-Infrastrukturen.