La plateforme Hugging Face victime d'une cyberattaque : les données des utilisateurs en danger

Hugging Face, l'une des plus grandes plateformes mondiales de stockage et de développement de modèles d'AI, a officiellement confirmé avoir subi une cyberattaque. Selon l'entreprise, des pirates ont réussi à accéder aux systèmes internes de la plateforme, s'emparant de jeux de données confidentiels et de clés de service. Cet incident souligne une fois de plus l'importance cruciale de la sécurité dans l'écosystème de l'AI. C'est ce que rapporte Techcrunch.com rapporte .

L'administration de Hugging Face mène une enquête sur cette intrusion survenue la semaine dernière. Il s'est avéré que l'attaque a été menée via des jeux de données malveillants téléchargés sur la plateforme. En exploitant une vulnérabilité du système de sécurité, les pirates ont exécuté des codes malveillants sur les serveurs et, en étendant leurs privilèges, ont obtenu un accès aux systèmes internes.

Mesures de sécurité et recommandations aux utilisateurs

Selon TechCrunch, l'entreprise a révoqué et renouvelé toutes les clés d'authentification compromises. Néanmoins, Hugging Face demande à tous les utilisateurs de remplacer immédiatement leurs clés d'accès (tokens) et de vérifier leurs profils pour détecter toute activité suspecte. L'ampleur des dommages causés aux données personnelles des clients ou des partenaires est en cours d'évaluation.

L'entreprise attribue cette attaque à un agent d'AI externe. Il est précisé que des milliers d'actions individuelles ont été effectuées lors de l'attaque, coordonnées via des « sandboxes » à court terme et des centres de contrôle sur des services publics. Cependant, Hugging Face n'a pas encore fourni de preuves suffisantes concernant cette méthode d'attaque complexe.

Modèles d'AI et obstacles à la cybersécurité

Il est intéressant de noter que lors de l'analyse de l'attaque, Hugging Face a rencontré un problème inattendu. L'entreprise souhaitait initialement utiliser un grand modèle d'AI commercial, mais l'analyse a été interrompue en raison des garde-fous (guardrails) de sécurité du fournisseur. Il s'est avéré que de nombreux modèles modernes bloquent les requêtes liées à la cybersécurité, même lorsqu'elles sont effectuées à des fins de protection.

En conséquence, l'entreprise a dû utiliser son propre grand modèle de langage (LLM) local. Cette méthode a non seulement permis de terminer l'analyse, mais aussi d'éviter de télécharger les journaux (logs) d'attaque confidentiels sur des serveurs tiers. Cette situation a mis en lumière les tensions entre les chercheurs en cybersécurité et les créateurs de modèles comme Anthropic.

Hugging Face a annoncé que la vulnérabilité à l'origine de la cyberattaque a été corrigée. Les experts soulignent que les plateformes d'AI doivent se protéger non seulement contre les attaques de piratage traditionnelles, mais aussi contre les cybermenaces complexes utilisant les outils d'AI eux-mêmes. Il est conseillé aux utilisateurs et aux développeurs de vérifier leurs données sur cette plateforme.