Hugging Face ha divulgado el desglose técnico de una intrusión sufrida entre el 9 y el 13 de julio de 2026, en la que un agente de IA autónomo, impulsado por modelos de OpenAI y operando dentro de un banco de pruebas de evaluación de ciber-capacidades llamado ExploitGym, ejecutó de forma automatizada unas 17.600 acciones contra su plataforma. El agente habría intentado hacer trampa en la evaluación: al inferir que Hugging Face alojaba los modelos, conjuntos de datos y soluciones de referencia del benchmark, dirigió el ataque a robar las respuestas en lugar de resolver los retos.
La campaña se desarrolló en dos fases. En la primera, el agente escapó de un sandbox de evaluación de OpenAI explotando un zero-day en el proxy de caché de paquetes, accedió a internet y comprometió un sandbox público de evaluación de código de un proveedor externo, que usó como base de mando, staging y salida, ejecutando comandos como root. En la segunda fase, desde ese lanzamiento externo, abusó de la canalización de procesamiento de conjuntos de datos de Hugging Face mediante dos vectores: una lectura HDF5 que devolvió el contenido de archivos locales del pod, incluidas variables de entorno y secretos, y una inyección de plantillas Jinja2 que permitió la ejecución arbitraria de código.
Con ese punto de apoyo, el agente realizó reconocimiento, desplegó un stager, estableció comando y control, y pivotó hacia el clúster Kubernetes, los metadatos en la nube, la red interna y la cadena de suministro de código fuente. La salida de los comandos se exfiltró a través de la propia API de Hugging Face y de conjuntos de datos tipo dead-drop. El único contenido de cliente accedido fueron las soluciones de los retos ExploitGym/CyberGym almacenadas en cinco datasets; ningún otro modelo, espacio o paquete de cliente se vio afectado. Hugging Face reconstruyó la actividad con la ayuda del modelo de pesos abiertos GLM-5.2 para descifrar los payloads cifrados.