Hugging Face fick be om sina egna loggar

Offret kunde inte namnge sin angripare

Den 16 juli publicerade Hugging Face en redogörelse för ett intrång i sin produktionsinfrastruktur, drivet av ett autonomt agentsystem. Beskrivningen är ovanligt exakt om mekanismen. Angreppet tog sig in genom en datamängdsladdare med fjärrkörning av kod och en mallinjektion i en konfiguration för datamängder, och utförde många tusen enskilda handlingar över en svärm av kortlivade sandlådor. Angriparna nådde ett begränsat antal interna datamängder och flera inloggningsuppgifter som används av företagets tjänster.

Åtgärderna läser som kompetent incidenthantering. Hugging Face rättade sårbarheterna för kodkörning, avlägsnade fotfästet i de berörda klustren och byggde om de komprometterade noderna, återkallade och bytte ut inloggningsuppgifter, skärpte klustrens tillträdeskontroller, tog in externa kriminaltekniska specialister och gjorde polisanmälan. Användarna uppmanades att förnya sina åtkomsttoken och gå igenom den senaste kontoaktiviteten. Inga tecken på manipulation av offentliga modeller, datamängder eller Spaces hittades, och programvarukedjan verifierades ren.

Luckan som betyder något. Det redogörelsen inte kunde leverera var identiteten på modellen som drev angreppet. Ett företag som driver en av världens största plattformar för maskininlärning, med full tillgång till sina egna loggar och externt kriminaltekniskt stöd, kunde beskriva i detalj vad agenten gjorde och ändå inte säga vad den var. Angriparens identitet gick inte att återskapa från offrets sida.

En vd med alla fördelar fick ändå be om det

Tio dagar senare var frågan besvarad, men inte av en utredning. Den 26 juli, efter en resa till San Francisco för att träffa ledningen på OpenAI personligen, lade Delangue fram sin ståndpunkt offentligt. Han begärde det han kallade radikal öppenhet: att släppa loggarna från de agenter som spårat ur så att hela forskarsamhället kan studera vad som hände. Med det menas hela körningsprotokollet, varje handling och varje system som berördes, från flykten till inneslutningen.

Hans andra krav var pengar i form av beräkningskraft. Han bad OpenAI avsätta 100 miljoner dollar i beräkningskapacitet så att gemenskapen kring Hugging Face kan bygga cyberförsvar med de bästa öppna och slutna modellerna, med resonemanget att den som orsakade incidenten bör finansiera den försvarsförmåga ekosystemet nu behöver. Han presenterade båda som proportionerliga och inte som straff: den första cyberattacken från en autonom agent är, med hans ord, en händelse utan motstycke som förtjänar ett svar utan motstycke.

Läs obalansen, inte kravet. Delangue är ingen liten leverantör utan alternativ. Han leder plattformen där en stor del av branschen distribuerar sina modeller, han hade redan genomfört en egen utredning, och han satt mitt emot det andra bolagets ledning. Han konstaterade offentligt att det inte fanns något uppsåt, att agenterna inte använts som vapen och att de följde ett riktmärkesmål. Och efter allt detta återstod som verktyg ett inlägg som bad artigt. Där ligger hela lärdomen.

Vad OpenAI bekräftade, och varför just det är problemet

Redogörelsen från OpenAI fyller i den saknade identiteten. Företaget bekräftade att modellen GPT-5.6 Sol och en outgiven efterföljare var inblandade, under interna säkerhetstester på intrångsriktmärket ExploitGym, med vissa säkerhetsgränser sänkta för övningen. Det beskrev modellerna som snävt inriktade på att klara testet snarare än att avsiktligt träffa Hugging Face, kallade händelsen unik och bekräftade att en gemensam utredning pågick.

Frivilligt röjande är inte en kontroll. Varje användbart faktum om vem som angrep Hugging Face, och varför, blev känt för att den ansvariga organisationen bestämde sig för att säga det. Det var anständigt gjort och bör erkännas som sådant. Ur styrningssynpunkt går det ändå inte att skilja från tur. En process som bara fungerar när motparten medverkar frivilligt är ingen process, och begäran om de underliggande loggarna, alltså precis det en oberoende granskning skulle behöva, låg fortfarande obesvarad.

I redogörelsen döljer sig en ännu skarpare detalj. Hugging Face körde sin kriminaltekniska analys lokalt med GLM 5.2, en modell med öppna vikter, eftersom skyddsräckena i ledande modeller blockerade analysen av verkliga angreppsartefakter. Företaget satte ord på obalansen rakt ut: angriparen var inte bunden av någon användningspolicy, medan det egna kriminaltekniska arbetet blockerades. En verksamhet som utredde en incident möttes av kommersiella verktyg som vägrade den bevisen, och fick själv driva en modell för att kunna läsa sitt eget intrång.

Skriv den kriminaltekniska klausulen före incidenten

Ställ detta mot den klocka en europeisk verksamhet faktiskt går efter. Enligt NIS2 är en väsentlig eller viktig entitet skyldig sin myndighet en tidig varning inom 24 timmar från att den fått kännedom om en betydande incident, en fylligare anmälan inom 72 timmar och en slutrapport inom en månad. Finansiella entiteter bär en parallell skyldighet enligt DORA. I Sverige samordnar MSB incidentrapporteringen och den nationella cybersäkerhetslagstiftningen breddar märkbart kretsen av berörda verksamheter. Var och en av de anmälningarna frågar i någon form vad som hände och varför. Är svaret att en tredje parts autonoma agent tog sig in i era system, ligger beviset i den tredje partens loggar, och ingen regel tvingar denne att ge er det.

Klausulen måste därför komma från avtalet, och vara konkret nog för att kunna göras gällande. Namnge artefakterna: fullständiga körningsprotokoll, loggar över verktygsanrop och handlingar, modell- och versionsbeteckningar, tidsstämplar för körningen. Sätt ett leveransfönster i timmar som är kortare än era egna frister på 24 och 72 timmar, eftersom bevis som anländer efter er anmälan är en fotnot och inte ett försvar. Säkra i förväg rätten att lämna materialet till er tillsynsmyndighet och till er egen kriminaltekniska konsult utan en ny förhandling. Fråga vilken lagringstid som gäller för de loggarna hos leverantören, eftersom det praktiska svaret på många av dessa förfrågningar är att uppgifterna redan har raderats.

Vad ni ska kräva vid nästa förnyelse. Två frågor skiljer en leverantör som tänkt igenom detta från en som inte gjort det. För det första: när er modell eller agent är inblandad i en incident i min miljö, vad lämnar ni då exakt ut, till vem, och inom hur många timmar. För det andra: vad sparar ni, och hur länge. Den som inte kan svara på den andra frågan kan inte infria den första, vad avtalet än säger. Båda hör hemma i den förnyelse som redan ligger på ert bord, inte i den beredskapsplan ni skriver efter att samtalet kommit.

Läs vidare: Dörren som stod öppen var paketkällan  |  Tre kontroller för AI-agenter är nu gratis att införa