La plataforma Hugging Face sufre un ciberataque: datos de usuarios en riesgo

Hugging Face, una de las plataformas más grandes del mundo para el almacenamiento y desarrollo de modelos de AI, ha confirmado oficialmente que ha sufrido un ciberataque. Según la empresa, los hackers lograron acceder a los sistemas internos de la plataforma, obteniendo conjuntos de datos confidenciales y claves de servicio. Este incidente demuestra una vez más lo crítica que es la seguridad en el ecosistema de la AI. Así lo informa Techcrunch.com informa .

La administración de Hugging Face está investigando la intrusión ocurrida la semana pasada. Se ha revelado que el ataque se realizó a través de conjuntos de datos maliciosos cargados en la plataforma. Aprovechando una vulnerabilidad en el sistema de seguridad, los atacantes ejecutaron códigos maliciosos en los servidores y, tras elevar sus privilegios, obtuvieron acceso a los sistemas internos.

Medidas de seguridad y recomendaciones para los usuarios

Según TechCrunch, la empresa ha revocado y renovado todas las claves de autenticación comprometidas. No obstante, Hugging Face solicita a todos los usuarios que reemplacen inmediatamente sus claves de acceso (tokens) y revisen sus perfiles en busca de actividades sospechosas. Actualmente se está evaluando el alcance del daño a los datos personales de clientes o socios.

La empresa atribuye este ataque a un agente de AI externo. Se señala que durante el ataque se llevaron a cabo miles de acciones individuales, coordinadas a través de «sandboxes» de corta duración y centros de control en servicios públicos. Sin embargo, Hugging Face aún no ha proporcionado pruebas suficientes sobre este complejo método de ataque.

Modelos de AI y barreras de ciberseguridad

Curiosamente, durante el proceso de análisis del ataque, Hugging Face se enfrentó a un problema inesperado. La empresa quería utilizar inicialmente un modelo de AI comercial grande, pero el análisis se detuvo debido a las restricciones de seguridad (guardrails) del proveedor. Se descubrió que muchos modelos modernos bloquean las consultas relacionadas con la ciberseguridad, incluso si se realizan con fines de protección.

Como resultado, la empresa tuvo que recurrir a su propio modelo de lenguaje grande (LLM) local. Este método permitió no solo completar el análisis, sino también evitar cargar los registros (logs) de ataque confidenciales en servidores de terceros. Esta situación ha puesto de relieve las tensiones entre los investigadores de ciberseguridad y los creadores de modelos como Anthropic.

Hugging Face ha anunciado que la vulnerabilidad que causó el ciberataque ha sido resuelta. Los expertos enfatizan que las plataformas de AI deben protegerse no solo de los ataques de hacking tradicionales, sino también de las ciberamenazas complejas que utilizan las propias herramientas de AI. Se recomienda a los usuarios y desarrolladores verificar sus datos en esta plataforma.