Ein autonomes KI-Agentensystem soll die Produktionsinfrastruktur der weltweit bekannten Entwicklerplattform Hugging Face angegriffen haben. Nach Darstellung des Unternehmens führte die Software den Einbruch von Anfang bis Ende weitgehend selbstständig aus – mit Tausenden Einzelaktionen, kurzlebigen Sandboxes und automatischer Bewegung durch mehrere interne Systeme.

Hugging Face veröffentlichte die Sicherheitsmitteilung am 16. Juli 2026. Demnach verschafften sich die Angreifer unbefugten Zugriff auf eine begrenzte Zahl interner Datensätze sowie auf mehrere Zugangsdaten, die von Diensten des Unternehmens verwendet wurden. Ob Daten von Partnern oder Kunden betroffen sind, werde noch untersucht.

Für eine Manipulation öffentlich zugänglicher Modelle, Datensätze oder sogenannter Spaces gebe es bislang keine Hinweise. Auch veröffentlichte Softwarepakete und Container-Abbilder seien überprüft und als sauber eingestuft worden. Betroffene Parteien sollen direkt informiert werden, sobald die Prüfung dies erforderlich macht.

Der Angriff begann laut Hugging Face in der Datenverarbeitung. Ein präparierter Datensatz missbrauchte zwei Wege zur Codeausführung: einen Dataset-Loader für externen Code und eine Template-Injection in einer Datensatzkonfiguration. Von einem Verarbeitungsserver aus erlangte der Angreifer Zugriff auf die Ebene des Knotens, sammelte Cloud- und Cluster-Zugangsdaten und bewegte sich über ein Wochenende seitlich in mehrere interne Cluster.

Besonders brisant ist die Automatisierung. Nach der Analyse des Unternehmens arbeitete ein autonomes Agenten-Framework mit einem Schwarm kurzlebiger Ausführungsumgebungen. Mehr als 17.000 protokollierte Ereignisse mussten ausgewertet werden. Welches Sprachmodell die Angreifer verwendeten, ist nicht bekannt.

Hugging Face schloss nach eigenen Angaben die ausgenutzten Schwachstellen, entfernte den Zugang des Angreifers, baute kompromittierte Knoten neu auf und widerrief beziehungsweise erneuerte betroffene Schlüssel und Tokens. Zusätzlich seien strengere Zugangskontrollen und schnellere Alarmierungen eingerichtet worden. Externe IT-Forensiker und Strafverfolgungsbehörden wurden eingeschaltet.

Das Unternehmen empfiehlt vorsorglich allen Nutzern, ihre Zugangstokens zu erneuern und die jüngsten Aktivitäten im eigenen Konto zu kontrollieren. Wer denselben Token außerdem in Skripten, Entwicklungsumgebungen oder Automatisierungen hinterlegt hat, muss ihn dort nach dem Austausch ebenfalls ersetzen.

Bemerkenswert ist auch die Abwehr: Hugging Face setzte selbst KI ein, um die Angriffsspuren zu ordnen und den Ablauf zu rekonstruieren. Kommerzielle Modelle seien für diese forensische Arbeit jedoch zunächst ungeeignet gewesen, weil deren Schutzfilter reale Angriffsbefehle und Schadcode blockierten. Das Unternehmen wich deshalb auf das offen verfügbare Modell GLM 5.2 in der eigenen Infrastruktur aus.

Der Vorfall markiert eine neue Eskalationsstufe. Autonome KI-Angriffe sind keine bloße Zukunftsvision mehr, wenn die Darstellung von Hugging Face zutrifft. Angreifer können Geduld, Masse und Geschwindigkeit automatisieren – während Verteidiger unter Zeitdruck erst rekonstruieren müssen, was ein Agentenschwarm in Tausenden Schritten angerichtet hat.