La scorsa settimana Hugging Face, la piattaforma di riferimento per la condivisione di modelli e dataset di intelligenza artificiale, ha reso nota una violazione della propria infrastruttura interna. L’episodio è rilevante non tanto per l’entità del danno, ancora in fase di valutazione, quanto per un dettaglio che ribalta molte certezze del settore. Durante l’indagine forense, i sistemi di protezione dei principali modelli commerciali hanno bloccato il lavoro degli analisti, scambiando le loro richieste per tentativi di attacco.
L’intrusione, avvenuta nel weekend, è partita da un dataset caricato sulla piattaforma che sfruttava due vulnerabilità distinte per eseguire codice malevolo sui server. Da quel primo appiglio, un agente di intelligenza artificiale autonomo ha compiuto migliaia di azioni attraverso una miriade di sandbox a vita breve, spostandosi lateralmente nell’infrastruttura, sottraendo credenziali cloud e accedendo a più cluster interni. Nessun essere umano guidava l’operazione, perché l’intero attacco è stato orchestrato da un agente software, probabilmente costruito su un framework nato per scopi di ricerca in sicurezza offensiva.
Quando il team di risposta agli incidenti ha tentato di analizzare i log dell’attacco tramite modelli commerciali di frontiera, si è scontrato con un muro. Le richieste contenevano comandi shell, payload di exploit, tracce di comandi di controllo, ovvero esattamente le sequenze che i sistemi di sicurezza dei modelli sono addestrati a rifiutare. Impossibilitati a distinguere tra un aggressore e un difensore autenticato, i modelli hanno bloccato l’analisi. Hugging Face ha allora ripiegato sul modello open-weight GLM 5.2, ospitato sulla propria infrastruttura, che ha completato il lavoro senza vincoli e senza esporre dati sensibili all’esterno.
Il paradosso è che chi attacca utilizza modelli scaricabili senza filtri, mentre chi difende è vincolato da policy pensate per prevenire abusi. Si tratta di un’asimmetria nuova, che secondo il rapporto CrowdStrike 2026 accompagna una crescita degli attacchi guidati da intelligenza artificiale dell’89% su base annua, con tempi medi di propagazione ridotti a ventinove minuti. La lezione per le aziende non è rinunciare ai modelli commerciali, ma non dipenderne come singolo punto di rottura. I piani di risposta agli incidenti dovrebbero prevedere fallback su modelli locali, mentre i fornitori dovrebbero introdurre meccanismi di fiducia autenticata, capaci di riconoscere non solo cosa viene chiesto, ma chi sta chiedendo e in quale contesto. Il rischio, altrimenti, è che le guardrail continuino a proteggere tutti tranne chi difende davvero.
Per approfondire: link all’articolo originale
