Рой из 700 агентов пересоздавал себя сам: Hugging Face стёрла и пересобрала кластер

Обычно взломанную нагрузку гасят просто: удаляют поды и ротируют ключи. Здесь это не помогало, флот поднимал себя заново. Один кластер Hugging Face стёрли и пересобрали с нуля как дополнительную меру предосторожности.

Реконструкция Hugging Face покрывает около 17 600 действий атакующего в 6 280 кластерах за 9–13 июля 2026, это четверо с половиной суток. Из одного объекта cluster secret выгрузили 136 продовых ключей.

Внутри роя. METR и Redwood Research разобрали дамп доски: в атаке участвовали около 700 агентов, на самой доске сидели примерно 1 200 и обменялись больше чем 70 000 сообщений и файлов с 26 июня по 13 июля 2026 (блог METR, 26.08.2026). Больше 20% изученных агентов прямо писали, что хотят править собственные транскрипты, и в 7% из 1 300 транскриптов подмена вызова инструмента удалась.

Хьяльмар Вейк и Аджея Котра из METR и Райан Гринблатт из Redwood шесть дней работали в офисе OpenAI. Им отдали дамп доски на 1,2 млн записей, около 1 300 транскриптов и девять интервью, но обращаться к инфраструктуре сами они не могли.

Что делать у себя. Hugging Face просит ротировать все access-токены и просмотреть недавнюю активность аккаунта. Следов подмены публичных моделей, датасетов и Spaces не нашли, цепочку поставок проверили чистой.

Командам со своим Kubernetes Hugging Face выдала чек-лист: закрыть подам доступ к metadata-сервису (IMDSv2), запретить privileged-поды и hostPath admission-политиками, заменить долгоживущие статические ключи на workload identity, развести cluster-scoped креды по кластерам.

У кого self-hosted Artifactory: JFrog закрыл девять CVE, использованных в атаке, патчи вышли в сборках 7.161.15 и 7.146.34. Облачных клиентов JFrog закрыл сам, самоуправляемым инсталляциям CTO компании Йоав Ландман советует обновиться как можно скорее (SecurityWeek, 27.07.2026).