كشفت Hugging Face أن بنيتها التحتية الداخلية تعرضت للاختراق من قبل إطار عمل وكلاء ذكاء اصطناعي مستقل خلال عطلة نهاية أسبوع في يوليو 2026 — وهو اختراق تقول الشركة إنه نفّذ "آلاف الإجراءات الفردية عبر سرب من البيئات المعزولة قصيرة العمر، مع بنية قيادة وتحكم ذاتية الترحيل مستضافة على خدمات عامة". وهذا أول اختراق إنتاجي مؤكد علنًا نفّذه مهاجم وكيلي من البداية إلى النهاية ضد مزود بنية تحتية كبير للذكاء الاصطناعي.
لكن التفصيل الأكثر أهمية ليس الاختراق نفسه، بل ما حدث بعده: عندما حاول مهندسو Hugging Face استخدام نماذج رائدة مستضافة لتحليل الهجوم، رفضت النماذج ذلك. فحواجز الأمان لديها لم تستطع التمييز بين مستجيب للحوادث الأمنية وبين مهاجم.
أبرز النقاط
- إطار عمل وكلاء مستقل اخترق عناقيد Hugging Face الداخلية خلال عطلة نهاية أسبوع واحدة، مولّدًا أكثر من 17,000 إجراء مسجّل للمهاجم
- جاء الوصول الأولي من مجموعة بيانات خبيثة استغلت ثغرتين لتنفيذ التعليمات البرمجية: محمّل مجموعات بيانات ينفذ كودًا عن بُعد، وحقن قوالب في ملف إعدادات مجموعة البيانات
- منعت النماذج الرائدة المستضافة التحليل الجنائي الرقمي لأنه تطلّب إرسال حمولات استغلال حقيقية وآثار قيادة وتحكم
- أكملت Hugging Face التحقيق باستخدام GLM 5.2، وهو نموذج مفتوح الأوزان من مختبر Z.ai الصيني، مشغّل على بنيتها التحتية الخاصة
- لا يوجد دليل على العبث بالنماذج أو مجموعات البيانات أو مساحات Spaces العامة؛ وتم التأكد من سلامة سلسلة توريد البرمجيات
كيف تطوّر الهجوم
كانت نقطة الدخول هي خط أنابيب معالجة البيانات. فقد أطلقت مجموعة بيانات خبيثة ثغرتين لتنفيذ التعليمات البرمجية على أحد عمّال المعالجة — محمّل مجموعات بيانات ينفذ كودًا عن بُعد، وحقن قوالب في إعدادات مجموعة البيانات — ما منح الوكيل موطئ قدم.
ومن هناك، صعّد امتيازاته إلى مستوى العقدة، وجمع بيانات اعتماد السحابة والعناقيد، وتحرّك أفقيًا عبر عدة عناقيد داخلية. وقد وسّعت ضوابط القبول غير الكافية على الوصول إلى العناقيد نطاق الضرر. وأكدت Hugging Face حدوث وصول غير مصرّح به إلى مجموعة محدودة من البيانات الداخلية إلى جانب بيانات اعتماد الخدمات والرموز المميزة.
جاء الاكتشاف من أنظمة رصد الشذوذ المدعومة بالذكاء الاصطناعي لدى الشركة نفسها، وتلاه الاحتواء خلال الأسبوع نفسه.
اختلال التوازن في حواجز الأمان
الدرس المحوري للحادثة ورد صريحًا في تقرير الشركة:
"يتطلب التحليل إرسال كميات كبيرة من أوامر الهجوم الحقيقية وحمولات الاستغلال وآثار القيادة والتحكم، وقد جرى حظر هذه الطلبات بواسطة حواجز الأمان لدى المزودين."
ورفضت Hugging Face تسمية النماذج المستضافة التي رفضت المهمة، وصاغت المشكلة على أنها بنيوية لا إخفاق لمورّد بعينه — فحواجز الأمان، بصيغتها الحالية، "لا تستطيع التمييز بين مستجيب للحوادث وبين مهاجم".
وقد لاقى تلخيص الشركة لهذا الاختلال صدى واسعًا في مجتمع الأمن السيبراني:
"لم يكن المهاجم مقيّدًا بأي سياسة استخدام، بينما جرى حظر عملنا الجنائي الرقمي بواسطة حواجز النماذج المستضافة التي جرّبناها أولًا."
كان الحل البديل هو تشغيل التحليل الجنائي على GLM 5.2، وهو نموذج مفتوح الأوزان، على بنية Hugging Face التحتية الخاصة. وحمل هذا الخيار ميزة ثانية أبرزها الفريق: لم تغادر أي بيانات للمهاجم، ولا أي من بيانات الاعتماد التي أشارت إليها، بيئتهم على الإطلاق.
التأثير
بالنسبة لفرق الأمن، يعيد هذا تأطير النماذج مفتوحة الأوزان من مسألة تحسين للتكلفة إلى مسألة استمرارية العمليات. فالمدافع الذي يعتمد كليًا على واجهات برمجة مستضافة لديه نقطة فشل واحدة تُفعَّل تحديدًا أثناء حادثة خطيرة — فاللحظة التي تصبح فيها المادة أشد إثارة لقلق مرشّح المحتوى هي اللحظة التي يكون فيها التحليل أشد أهمية.
وبالنسبة لمزودي الذكاء الاصطناعي، يزيد ذلك من حدة توتر يتراكم منذ سنوات. فسياسات الأمان المكتوبة لمنع النماذج من مساعدة المهاجمين باتت تعيق المدافعين بشكل قابل للقياس، والاختلال يصب في صالح المهاجم: فالخصم الذي يشغّل نموذجًا غير مواءَم أو مستضافًا ذاتيًا لا يواجه أي احتكاك من هذا النوع.
أما بالنسبة لمنظومة الأوزان المفتوحة، فهي لحظة تحقق مهمة. إذ لم يُختَر GLM 5.2 كبديل أرخص — بل اختير لأنه كان الخيار الوحيد القادر على إنجاز المهمة ضمن قيود حادثة جارية.
الخلفية
يأتي الاختراق وسط جدل متصاعد حول المهاجمين الوكيليين. فقد حذّر باحثو الأمن منذ أكثر من عام من أن الوكلاء المستقلين سيضغطون دورة الاستطلاع إلى الاستغلال من أيام إلى دقائق، وقد شهد عام 2026 سلسلة من الحوادث التي تشير إلى ذلك، بما فيها حملات فدية مدفوعة بالوكلاء تستهدف أدوات الذكاء الاصطناعي. وأشارت Hugging Face صراحة إلى أن هذه الحملة "تطابق سيناريو المهاجم الوكيلي" الذي كان القطاع يتوقعه.
ودور المنصة يجعلها هدفًا عالي القيمة: فهي تستضيف حصة كبيرة من أوزان النماذج ومجموعات البيانات العامة في العالم، وأي اختراق لسلسلة التوريد فيها سينتشر على نطاق واسع. وكون المهاجم وصل إلى العناقيد الداخلية دون سطح المنتجات العامة هو النتيجة الأكثر طمأنة في التقرير.
المعالجة والإرشادات
أغلقت Hugging Face ثغرات تنفيذ التعليمات البرمجية في مجموعات البيانات، وأزالت وجود المهاجم، وأعادت بناء العقد المخترقة، وألغت بيانات الاعتماد والرموز المميزة وبدّلتها، ونشرت ضوابط قبول أكثر صرامة للعناقيد. كما استعانت بمختصين خارجيين في التحليل الجنائي الرقمي وأبلغت الجهات الأمنية بالحادثة.
ويُنصح المستخدمون بتبديل رموز الوصول الخاصة بهم، ومراجعة نشاط الحساب الأخير، والتواصل مع فريق أمن المنصة عند وجود أي مخاوف.
ما التالي
يُختتم التقرير بتوصية تقرأ كتوجيه للقطاع بأكمله: ينبغي أن يكون لدى المؤسسات "نموذج قادر يمكنك تشغيله على بنيتك التحتية الخاصة، مُدقَّق وجاهز قبل وقوع الحادثة، سواء لتفادي الحظر بحواجز الأمان أو لمنع بيانات المهاجم وبيانات الاعتماد من مغادرة بيئتك".
ويبقى السؤال مفتوحًا حول ما إذا كان المزودون المستضافون سيستجيبون باستثناءات موثّقة للاستجابة للحوادث لصالح فرق الأمن — وهو سؤال يُرجَّح أن يفرضه السوق. فالبديل هو مشاهدة المدافعين ينتقلون إلى نماذج مفتوحة الأوزان مستضافة ذاتيًا، وتحديدًا في أعباء العمل التي تكون فيها الموثوقية أشد أهمية.