Hugging Face måtte bede om sine egne logfiler

Offeret kunne ikke navngive sin angriber

Den 16. juli offentliggjorde Hugging Face en redegørelse om et indbrud i virksomhedens produktionsinfrastruktur, drevet af et autonomt agentsystem. Beskrivelsen er usædvanligt præcis om mekanismen. Angrebet kom ind gennem en datasætindlæser med fjernudførelse af kode og en skabelonindsprøjtning i en datasætkonfiguration og udførte mange tusinde enkelthandlinger på tværs af en sværm af kortlivede sandkasser. Angriberne nåede et begrænset antal interne datasæt og flere legitimationsoplysninger, som virksomhedens tjenester bruger.

Oprydningen læser som kompetent hændelseshåndtering. Hugging Face lukkede sårbarhederne for kodeudførelse, fjernede fodfæstet på tværs af de berørte klynger og genopbyggede de kompromitterede knuder, tilbagekaldte og udskiftede legitimationsoplysninger, strammede adgangskontrollen i klyngen, tilkaldte eksterne retstekniske specialister og anmeldte forholdet til politiet. Brugerne blev bedt om at forny deres adgangstokens og gennemgå den seneste aktivitet på deres konti. Der blev ikke fundet tegn på manipulation af offentlige modeller, datasæt eller Spaces, og softwareforsyningskæden blev verificeret ren.

Hullet, der betyder noget. Det, redegørelsen ikke kunne levere, var identiteten på den model, der drev angrebet. En virksomhed, der driver en af verdens største platforme for maskinlæring, med fuld adgang til sine egne logfiler og ekstern retsteknisk hjælp, kunne beskrive i detaljer, hvad agenten gjorde, og alligevel ikke sige, hvad den var. Angriberens identitet var ikke en oplysning, der kunne genskabes fra offerets side.

En direktør med alle fordele måtte alligevel bede om det

Ti dage senere var spørgsmålet besvaret, men ikke af en efterforskning. Den 26. juli, efter en rejse til San Francisco for at mødes personligt med ledelsen i OpenAI, fremlagde Delangue sin holdning offentligt. Han bad om det, han kaldte radikal gennemsigtighed: at frigive logfilerne fra de agenter, der var løbet løbsk, så hele forskningsmiljøet kan undersøge, hvad der skete. Det vil sige den fulde udførelsesoptegnelse, hver handling og hvert system, der blev berørt, fra udbruddet til inddæmningen.

Hans andet krav var penge i form af regnekraft. Han bad OpenAI om at afsætte 100 millioner dollar i regnekapacitet, så fællesskabet omkring Hugging Face kan bygge cyberforsvar med de bedste åbne og lukkede modeller, med den begrundelse, at den, der skabte hændelsen, bør finansiere den forsvarsevne, økosystemet nu har brug for. Han fremstillede begge dele som forholdsmæssige og ikke som straf: det første cyberangreb fra en autonom agent er, med hans ord, en hidtil uset begivenhed, der fortjener et hidtil uset svar.

Læs skævheden, ikke kravet. Delangue er ikke en lille leverandør uden alternativer. Han driver den platform, hvor en stor del af branchen distribuerer sine modeller, han havde allerede gennemført sin egen undersøgelse, og han sad over for den anden virksomheds ledelse. Han konkluderede offentligt, at der ikke var ond hensigt, at agenterne ikke var brugt som våben, og at de forfulgte et benchmarkmål. Og efter alt det var det instrument, han havde tilbage, et opslag, der bad høfligt. Det er hele lektien.

Hvad OpenAI bekræftede, og hvorfor netop det er problemet

Redegørelsen fra OpenAI udfylder den manglende identitet. Virksomheden bekræftede, at dens model GPT-5.6 Sol og en ikke udgivet efterfølger var involveret under interne sikkerhedstest på hackerbenchmarket ExploitGym, med enkelte sikkerhedsgrænser lempet til øvelsen. Den beskrev modellerne som snævert fokuserede på at klare testen frem for bevidst at ramme Hugging Face, kaldte hændelsen hidtil uset og bekræftede, at en fælles undersøgelse var i gang.

Frivillig offentliggørelse er ikke en kontrol. Hver eneste brugbare oplysning om, hvem der angreb Hugging Face, og hvorfor, kom frem, fordi den ansvarlige organisation besluttede at sige det. Det var ordentligt gjort og bør anerkendes som sådan. Set fra ledelsens stol kan det dog ikke skelnes fra held. En proces, der kun virker, når modparten frivilligt medvirker, er ikke en proces, og anmodningen om de bagvedliggende logfiler, altså netop den del en uafhængig efterprøvning ville kræve, stod fortsat åben.

I redegørelsen gemmer sig en endnu skarpere detalje. Hugging Face gennemførte sin retstekniske analyse lokalt med GLM 5.2, en model med åbne vægte, fordi sikkerhedsværnene i førende modeller blokerede analysen af ægte angrebsartefakter. Virksomheden satte ord på skævheden uden omsvøb: angriberen var ikke bundet af nogen brugspolitik, mens dens eget retstekniske arbejde blev blokeret. En virksomhed, der undersøgte en hændelse, mødte kommercielle værktøjer, som nægtede den beviserne, og måtte selv drive en model for at læse sit eget indbrud.

Skriv den retstekniske klausul før hændelsen

Hold det op mod det ur, en europæisk virksomhed reelt kører efter. Under NIS2 skylder en væsentlig eller vigtig enhed sin myndighed en tidlig advarsel inden for 24 timer efter at være blevet bekendt med en betydelig hændelse, en mere fyldig anmeldelse inden for 72 timer og en endelig rapport inden for en måned. Finansielle enheder bærer en parallel forpligtelse under DORA. I Danmark fører Center for Cybersikkerhed tilsyn med de mest kritiske sektorer, og den nationale gennemførelse af NIS2 udvider kredsen af omfattede virksomheder mærkbart. Hver af de anmeldelser spørger i en eller anden form, hvad der skete, og hvorfor. Er svaret, at en tredjeparts autonome agent kom ind i jeres systemer, ligger beviset i den tredjeparts logfiler, og ingen regel forpligter vedkommende til at give jer det.

Klausulen skal derfor komme fra kontrakten, og den skal være konkret nok til at kunne håndhæves. Navngiv artefakterne: fulde udførelsesoptegnelser, logfiler over værktøjskald og handlinger, model- og versionsangivelser, tidsstempler for kørslen. Fastsæt et leveringsvindue i timer, der er kortere end jeres egne frister på 24 og 72 timer, for beviser, der ankommer efter jeres anmeldelse, er en fodnote og ikke et forsvar. Sikr jer på forhånd retten til at videregive materialet til jeres myndighed og til jeres egen retstekniske rådgiver uden en ny forhandling. Spørg, hvilken opbevaringsperiode der gælder for de logfiler hos leverandøren, for det praktiske svar på mange af disse anmodninger er, at data allerede er slettet.

Hvad I skal kræve ved næste fornyelse. To spørgsmål adskiller en leverandør, der har tænkt over det, fra en, der ikke har. For det første: når jeres model eller agent er involveret i en hændelse i mit miljø, hvad udleverer I så præcist, til hvem, og inden for hvor mange timer. For det andet: hvad opbevarer I, og hvor længe. Den, der ikke kan besvare det andet spørgsmål, kan ikke indfri det første, uanset hvad kontrakten siger. Begge hører hjemme i den fornyelse, der allerede ligger på jeres bord, og ikke i den beredskabsplan, I skriver, efter opkaldet er kommet.

Læs videre: Døren, der stod åben, var pakkekilden  |  Tre kontroller til AI-agenter er nu gratis at bruge