Hugging Face confirmó el viernes que un reciente ataque cibernético comprometió sus conjuntos de datos internos y credenciales de servicio. La violación ocurrió la semana pasada, según la compañía, y actualmente está investigando si se accedió a datos de clientes o socios. En una publicación de blog, Hugging Face explicó que un conjunto de datos cargado en su plataforma explotó una falla de seguridad para ejecutar código malicioso en sus servidores, lo que permitió a los atacantes elevar sus privilegios y acceder a partes más amplias de la infraestructura interna de la compañía. La compañía declaró que ha revocado y rotado las credenciales robadas e insta a los usuarios a hacer lo mismo con cualquier clave que hayan almacenado en la plataforma.
Los usuarios también se les aconseja revisar sus cuentas para cualquier actividad inusual. Hugging Face afirma que ha resuelto la vulnerabilidad específica que fue explotada durante el ataque. Sin embargo, el incidente destaca el desafío continuo que enfrentan organizaciones como Hugging Face cuando los adversarios explotan plataformas y herramientas para acceder y potencialmente robar información confidencial. Hugging Face atribuyó la violación a un agente de IA externo, que llevó a cabo numerosas acciones en múltiples sandboxes temporales. Estas acciones incluyeron operaciones de comando y control de auto-migración alojadas en servicios de acceso público.
A pesar de haber sido contactada por TechCrunch, la compañía no proporcionó evidencia inmediata que respalde esta afirmación. La violación fue detectada por el propio sistema de detección de anomalías de Hugging Face, que analizó los registros del servidor utilizando un modelo de IA. Inicialmente, la compañía intentó usar un modelo de IA de frontera de un proveedor comercial para analizar los registros. Sin embargo, este esfuerzo fue obstaculizado por las restricciones del proveedor. Como resultado, Hugging Face optó por usar su propio lenguaje de modelo grande alojado localmente, lo que permitió el análisis sin cargar datos confidenciales a servidores de terceros.
Los expertos en seguridad han expresado su preocupación por ciertos modelos fronterizos, como Anthropic's Mythos y Fable, que imponen limitaciones estrictas que pueden impedir las investigaciones de ciberseguridad. Estos modelos han sido objeto de disputas con la administración Trump, particularmente con respecto a su uso potencial en operaciones cibernéticas ofensivas.
Un representante de la compañía no respondió a una solicitud de aclaración el lunes. El incidente plantea preguntas importantes sobre las prácticas de seguridad de las plataformas que alojan modelos y conjuntos de datos de IA, especialmente dada la creciente sofisticación de las amenazas cibernéticas dirigidas a dichos entornos.
1 informaciones
TechCrunchIndependienteCentroVeracidad 85Objetividad 75hace 23 hHugging Face, una plataforma de inteligencia artificial que aloja modelos y conjuntos de datos, confirmó una brecha de seguridad que afecta a sus sistemas internos y credenciales. La violación se produjo debido a un conjunto de datos malicioso que explotaba una vulnerabilidad de seguridad, permitiendo a los atacantes escalar privilegios y acceder a sistemas internos. La compañía declaró que ha revocado las credenciales robadas e instó a los usuarios a verificar sus propias claves. Atribuyeron la violación a un agente de inteligencia artificial externo que opera a través de procesos automatizados. Hugging Face utilizó su propio modelo de inteligencia artificial para el análisis en lugar de un proveedor externo debido a restricciones. El incidente destaca los desafíos en curso para asegurar la infraestructura de inteligencia artificial, con expertos en seguridad que critican los modelos fronterizos por limitar las capacidades defensivas. La compañía ha informado a las autoridades de la violación y ha alistado expertos en ciberseguridad para una mayor investigación.
Lectura del sesgo (Centro): Si bien el artículo analiza la ciberseguridad y la tecnología de IA, que podría considerarse políticamente relevante, el enfoque sigue estando en los aspectos técnicos de la violación y las respuestas operativas.
Por qué veracidad (85): The article accurately reports the breach affecting internal datasets and credentials, aligns with the primary source document regarding the AI-driven nature of the attack, and mentions the revocation of credentials. However, it omits specific details about the AI agent framework and the use of GLM
Por qué objetividad (75): The article presents the facts neutrally but includes some subjective phrasing such as 'challenges that companies like Hugging Face face,' implying a critique of the situation. It also lacks balance by not mentioning the company's proactive steps or the collaboration with cybersecurity experts.
★
Mantengamos las noticias honestas.
ObjectiveNews se financia con los lectores y no tiene anuncios: te mostramos el sesgo en lugar de ocultarlo. Apoya el periodismo independiente por 5 €/mes.
Hazte suscriptor
United States
