Hugging Face раскрывает инцидент безопасности июля 2026 года
Компания Hugging Face сообщила о несанкционированном доступе к своим серверам, в результате которого были скомпрометированы API‑токены и часть пользовательских данных.
16 июля 2026 года Hugging Face опубликовала официальное заявление о происшествии в области кибербезопасности. По словам представителей компании, злоумышленники получили доступ к внутренним серверам, где хранились журналы активности и несколько баз данных с метаданными моделей. Основным вектором атаки стал компрометированный AWS‑ключ, который позволил обойти системы мониторинга.
В результате инцидента были раскрыты:
- более 120 000 API‑токенов, использовавшихся для доступа к моделям Hugging Face;
- ограниченный набор профилей пользователей, включающий email‑адреса и информацию о подписках;
- часть логов, содержащих IP‑адреса и временные метки запросов.
Компания немедленно отозвала уязвимый ключ, пересмотрела политики доступа и внедрила многофакторную аутентификацию для всех внутренних сервисов. Пользователям с скомпрометированными токенами было отправлено уведомление с рекомендациями по их ротации. Кроме того, Hugging Face привлекла независимую фирму по кибербезопасности для проведения полного аудита инфраструктуры.
В заявлении подчеркивается, что конфиденциальные данные моделей и пользовательские файлы не были затронуты, а утечка ограничилась только метаданными и токенами доступа. Компания обещает регулярно публиковать отчёты о безопасности и улучшать процессы реагирования на инциденты.
Ссылка на оригинальное сообщение: https://huggingface.co/blog/security-incident-july-2026
Для разработчиков, использующих Hugging Face API, это сигнал проверить и обновить свои токены, а также включить MFA. Студентам и исследователям стоит обратить внимание на практики безопасного хранения секретов. Инцидент подчёркивает важность регулярных аудитов инфраструктуры и готовности к быстрому реагированию.
