No final da tarde de sexta-feira, uma janela de tempo que as empresas geralmente reservam para divulgações pouco lisonjeiras, a startup de IA Hugging Face disse que sua equipe de segurança detectou no início desta semana “acesso não autorizado” ao Spaces, a plataforma da Hugging Face para criação, compartilhamento e hospedagem de modelos e recursos de IA.
Em um postagem no blogHugging Face disse que a intrusão relacionada aos segredos do Spaces, ou as informações privadas que atuam como chaves para desbloquear recursos protegidos como contas, ferramentas e ambientes de desenvolvimento, e que tem “suspeitas” de que alguns segredos poderiam ter sido acessados por um terceiro sem autorização.
Por precaução, Hugging Face revogou vários tokens desses segredos. (Tokens são usados para verificar identidades.) Hugging Face diz que os usuários cujos tokens foram revogados já receberam um aviso por e-mail e recomenda que todos os usuários “atualizem qualquer chave ou token” e considerem mudar para tokens de acesso refinados, que Hugging As reivindicações faciais são mais seguras.
Não ficou imediatamente claro quantos usuários ou aplicativos foram afetados pela possível violação.
“Estamos trabalhando com especialistas forenses externos em segurança cibernética para investigar o problema, bem como revisar nossas políticas e procedimentos de segurança. Também relatamos este incidente às agências de aplicação da lei e aos Serviços de Dados. [sic] autoridades de proteção”, escreveu Hugging Face no post. “Lamentamos profundamente a perturbação que este incidente pode ter causado e compreendemos o inconveniente que pode ter causado a vocês. Comprometemo-nos a usar isto como uma oportunidade para fortalecer a segurança de toda a nossa infraestrutura.”
Em uma declaração enviada por e-mail, um porta-voz do Hugging Face disse ao TechCrunch:
“Temos visto o número de ataques cibernéticos aumentar significativamente nos últimos meses, provavelmente porque nosso uso tem crescido significativamente e a IA está se tornando mais popular. É tecnicamente difícil saber quantos segredos espaciais foram comprometidos.”
O possível hack do Spaces ocorre no momento em que Hugging Face, que está entre as maiores plataformas para projetos colaborativos de IA e ciência de dados, com mais de um milhão de modelos, conjuntos de dados e aplicativos baseados em IA, enfrenta um escrutínio crescente sobre suas práticas de segurança.
Em abril, pesquisadores da empresa de segurança em nuvem Wiz encontraram um vulnerabilidade – já corrigido – isso permitiria que invasores executassem código arbitrário durante o tempo de construção de um aplicativo hospedado no Hugging Face, o que lhes permitiria examinar as conexões de rede de suas máquinas. No início do ano, a empresa de segurança JFrog descoberto evidências de que o código carregado no Hugging Face instalou backdoors e outros tipos de malware secretamente nas máquinas dos usuários finais. E a startup de segurança HiddenLayer identificou maneiras pelas quais o formato de serialização ostensivamente mais seguro do Hugging Face, Safetensors, poderia ser abusado para criar modelos de IA sabotados.
Abraçando o rosto disse recentemente que faria parceria com a Wiz para usar as ferramentas de verificação de vulnerabilidades e configuração de ambiente em nuvem da empresa “com o objetivo de melhorar a segurança em nossa plataforma e no ecossistema de IA/ML em geral”.
Link do Autor
