Помните мой пост про использовании ИИ в SOCах? Я тогда использовал картинку, которую взял из доклада, в котором с придыханием рассказывалось о том, что переход на Claude в качестве ядра SOC, анализирующего события и помогающего с принятием решений, – это мудро и экономно. И вот тут интересный кейс с HuggingFace приключился, которая проверила на практике этот тезис...

В июле 2026 года Hugging Face обнаружила проникновение в часть своей инфраструктуры. По утверждению компании, атака была почти полностью проведена автономной агентной системой (я думаю еще написать про это отдельно): она последовательно выполняла разведку, закрепление, повышение привилегий, поиск учетных данных и перемещение между внутренними кластерами.

Начальной точкой стал не сервис инференса моделей и не классическая промпт-инъекция, а конвейер обработки датасетов. Злоумышленник разместил вредоносный набор данных, который использовал два механизма выполнения кода – загрузчик датасета с возможностью исполнения удаленного кода и внедрение шаблона в конфигурацию датасета. В результате код был запущен на рабочем узле, обрабатывавшем пользовательские данные. Затем атакующая система получила доступ на уровне хоста, собрала облачные и кластерные учетки и проникла в несколько внутренних кластеров Hugging Face.

И вот интересно. Сначала Hugging Face попыталась анализировать журналы событий ИБ с помощью передовых моделей, доступных через коммерческие API (американские, конечно же). Но запросы содержали:
реальные команды злоумышленника
эксплойты
вредоносную нагрузку
артефакты C2-инфраструктуры
украденные или упоминавшиеся креды.

Передовые американские модели, свято блюдущие безопасность и недоступные хакерам,.. заблокировали такие запросы, поскольку не могли отличить специалиста по форензике, расследующего атаку, от злоумышленника, который просит помочь с ее проведением (тут, конечно, посмотреть бы сами промпты, а то все-таки запрос на атаку и запрос на ее расследование немного отличаются по сути)

В итоге Hugging Face развернула открытую модель GLM 5.2 в собственной инфраструктуре (ибо могут) и провела анализ данных инцидента локально. Это одновременно решило две задачи:
модель не блокировала исследование вредоносных артефактов
данные расследования, команды атакующего и креды не покидали инфраструктуру Hugging Face.
 
Компания называет это проблемой асимметрии – атакующий может использовать открытую или со снятыми ограничениями модель, тогда как защитник зависит от политик безопасности коммерческого API (и мнения мистера Трампа). Потом, в своем блоге, Hugging Face специально оговаривается, что это не аргумент против ограничений в облачных моделях (еще бы, ведь HuggingFace – это американская компания, а они сейчас все как один против китайцев). Скорее, это аргумент за то, чтобы у команды реагирования заранее была одобренная локальная модель для форензики; конечно, же китайская

От себя добавлю, что при использовании любого облачного сервиса, вопрос его доступности (или недоступности) – наиважнейший. Какая вам разница, ядро вашего SOC недоступно по причине перерубания Интернет-кабеля к ЦОДу облака, отзыва TLS-сертификата у облачной инфраструктуры SOCа, сработавших guardrail'ов у модели, отключения электропитания из-за нехватки дизела в генераторе или атаки дрона? Результат-то один

HuggingFace пока не атрибутирует инцидент ни с одной группировкой. Но будет интересно, если окажется, что за атакой стояли китайцы и их же модель GLM помогла провести расследование. Значит ли это, что там нет закладок, препятствующих использовать ИИ против своих создателей?

ЗЫ. А вы можете в течение пары часов развернуть GLM или иную открытую модель у себя в инфраструктуре?

#инцидент #ии #soc #forensics