Hugging Face, la plataforma de código abierto más usada del mundo para compartir modelos de IA, ha confirmado que sufrió una intrusión en su infraestructura de producción ejecutada de principio a fin por un agente de inteligencia artificial autónomo. No un atacante humano apoyándose en IA como herramienta. Un agente que planificó, ejecutó y se movió lateralmente por sí solo.

La compañía detectó y contuvo el incidente la semana pasada. Según su propio comunicado, hubo acceso no autorizado a un conjunto limitado de conjuntos de datos internos y a varias credenciales de sus servicios. Todavía están terminando de evaluar si hay datos de clientes o socios afectados.

Cómo entraron: un dataset como caballo de Troya

El punto de entrada fue el propio sistema de ingesta y procesamiento de datos de Hugging Face, justo el lugar donde una plataforma de IA es más vulnerable: el punto por donde entra todo lo que cualquier usuario sube a la plataforma. Un dataset malicioso explotó dos fallos de ejecución de código, un cargador remoto de datasets y una inyección de plantilla en la configuración, para ejecutar código en un worker de procesamiento.

Desde ahí, el agente escaló privilegios, robó credenciales de nube y de clúster, y se movió por la infraestructura interna durante todo un fin de semana. Hugging Face describe la operación como un «framework de agente autónomo» que ejecutó miles de acciones individuales a través de un enjambre de sandboxes de corta duración, con un mando y control que se auto-migraba usando servicios públicos. Ni siquiera saben con certeza qué modelo de lenguaje lo impulsaba.

La buena noticia, si se puede llamar así: no hay evidencia de que se manipularan modelos públicos, datasets, Spaces, ni la cadena de suministro de software de la compañía.

El giro más interesante: la IA que investigó no pudo ser cualquier IA

Aquí está la parte que probablemente se recuerde de este incidente dentro de un año. Para reconstruir lo ocurrido, Hugging Face usó sus propias herramientas de IA: un sistema de detección de anomalías marcó la actividad sospechosa, y agentes de análisis basados en LLM revisaron más de 17.000 acciones del atacante para reconstruir la cronología completa en horas, no en días.

El problema llegó al elegir qué modelo usar para ese análisis forense. Los modelos comerciales alojados que probaron primero bloquearon el análisis, porque sus propios controles de seguridad marcaban los datos reales del ataque como potencialmente dañinos. La solución fue recurrir a un modelo de pesos abiertos, GLM 5.2 de Z.ai, corriendo en su propia infraestructura, para mantener la información sensible dentro de su perímetro.

La propia compañía lo resume sin rodeos en su comunicado: no saben si el atacante usaba un modelo alojado manipulado para saltarse restricciones o uno de pesos abiertos sin restricciones, pero en cualquier caso, ese atacante no estaba sujeto a ninguna política de uso, mientras que su propio trabajo forense sí quedó bloqueado por las salvaguardas de los modelos alojados que probaron primero.

La lección que ellos mismos extraen, y que están trasladando directamente a los proveedores de esos modelos, no es que haya que quitar las medidas de seguridad. Es que cualquier equipo de defensa necesita tener ya evaluado y listo un modelo capaz que pueda ejecutar en su propia infraestructura, antes de que ocurra un incidente, no en mitad de uno.

¿Qué medidas se han tomado?

Hugging Face cerró las vulnerabilidades de entrada, revocó y rotó las credenciales comprometidas, lanzó una rotación de secretos más amplia, y ha reforzado la monitorización para detectar ataques similares en cuestión de minutos. También ha notificado a las autoridades y trabaja con forenses externos.

Si usas la plataforma, la recomendación de la propia empresa es rotar tus tokens de acceso y revisar la actividad reciente de tu cuenta por si acaso.

Lo que queda de fondo es una asimetría incómoda que el propio sector llevaba tiempo anticipando en teoría, y que aquí se materializa en un caso real: los atacantes pueden usar agentes de IA sin ninguna restricción, mientras que quienes se defienden necesitan herramientas de IA fiables y sin las mismas trabas, listas antes de que suene la alarma.

Fuente: Security Affairs, comunicado original de Hugging Face