Платформа Hugging Face сообщила, что её платформа Spaces была взломана. Это позволило хакерам получить доступ к токенам аутентификации участников.
«Ранее на этой неделе наша команда обнаружила несанкционированный доступ к платформе Spaces, в частности, связанный с токенами. Как следствие, у нас есть подозрения, что к некоторым токенам Spaces можно было получить доступ без авторизации», — отмечается в блоге.
В Hugging Face уже отозвали токены аутентификации в скомпрометированных секретах и уведомили пострадавших по электронной почте.
Тем не менее, всем пользователям Spaces рекомендуется обновить свои токены и перейти на токены детального доступа, которые позволяют организациям жёстче контролировать, кто получает доступ к их моделям ИИ.
Компания работает с независимыми экспертами по кибербезопасности, чтобы расследовать нарушение и сообщить об инциденте правоохранительным органам и агентствам по защите данных. Платформа сообщает, что в последние несколько дней ужесточила меры безопасности из-за инцидента.
«За последние несколько дней мы внесли другие существенные улучшения в безопасность инфраструктуры Spaces, включая полное удаление токенов организации (что привело к расширению возможностей отслеживания и аудита), внедрение системы управления ключами (KMS) для секретов Spaces, расширение способности нашей системы выявлять утёкшие токены и аннулировать их. Мы также планируем полностью отказаться от “классических” токенов чтения и записи в ближайшем будущем», — поделились в Hugging Face.
В феврале компания по кибербезопасности JFrog обнаружила около 100 экземпляров вредоносных моделей машинного обучения Hugging Face, используемых для выполнения вредоносного кода на компьютере жертвы. Одна из моделей открывала обратную оболочку, которая позволяла злоумышленнику получить доступ к устройству.
Кроме того, исследователи безопасности в Wiz обнаружили уязвимость, которая позволяла загружать собственные модели Hugging Face и использовать escape-контейнеры для получения межклиентского доступа к моделям других пользователей.
