Hugging Face’ga AI hujum qildi. Kompaniya esa unga qarshi yana AI’dan foydalandi

Sun’iy intellekt dunyosida yangi bosqich boshlandimi? Dunyoning eng yirik ochiq AI platformalaridan biri bo‘lgan Hugging Face o‘z infratuzilmasining bir qismi avtonom sun’iy intellekt agentlari tomonidan buzilganini ma’lum qildi. Eng qiziq tomoni shundaki, kompaniya hujumni aniqlash va tahlil qilish uchun ham AI texnologiyalaridan foydalangan.

Bu voqea AI yordamida amalga oshirilgan kiberhujumlar endi nazariy tahdid emas, balki real muammoga aylanganini ko‘rsatmoqda.

Hujum qanday boshlangan?

Kompaniya ma’lumotlariga ko‘ra, hujum AI platformalarining eng nozik nuqtalaridan biri bo‘lgan ma’lumotlarni qayta ishlash tizimi orqali amalga oshirilgan.

Hujumchilar platformaga zararli dataset yuklashga muvaffaq bo‘lishgan. Ushbu fayl Hugging Face tizimidagi ikkita zaiflikdan foydalangan:

• Datasetlarni masofadan yuklash mexanizmidagi kamchilik.
• Dataset konfiguratsiyasidagi shablon (template) zaifligi.

Natijada hujumchilar serverlarda kod ishga tushirish imkoniyatiga ega bo‘lishdi.

Shundan so‘ng AI agent tizim ichida yanada chuqurroq kirib bordi, server darajasidagi ruxsatlarni qo‘lga kiritdi, bulut infratuzilmasi va klasterlarga oid kalitlarni yig‘di hamda hafta oxiri davomida kompaniyaning bir nechta ichki tizimlari bo‘ylab harakatlandi.

Bu oddiy xaker emas edi

Hugging Face ta’kidlashicha, hujumning deyarli barcha bosqichlari avtonom AI agentlar tomonidan boshqarilgan.

Kompaniya qaysi model hujum ortida turganini aniqlay olmadi. Bu buzilgan tijoriy model ham bo‘lishi mumkin, ochiq kodli model ham.

Ma’lum bo‘lishicha, AI tizimi:

• 17 mingdan ortiq alohida harakatni amalga oshirgan.
• Minglab qisqa muddatli virtual muhitlardan foydalangan.
• Buyruq va boshqaruv infratuzilmasini doimiy ravishda o‘zgartirib turgan.
• Ommaviy bulut servislaridan foydalangan.

Mutaxassislar bunday ssenariyni bir necha yildan beri “agentic attacker”, ya’ni mustaqil AI-xaker modeli sifatida muhokama qilib kelishayotgandi. Endi esa u ilk marta amalda kuzatildi.

Kompaniya hujumni AI yordamida aniqladi

Hugging Face’ning xavfsizlik tizimida AI asosidagi monitoring vositalari ishlaydi.

Shu tizim shubhali faoliyatni aniqlaganidan keyin kompaniya maxsus LLM-agentlarni ishga tushirgan. Ular:

• hujumning to‘liq vaqt jadvalini tiklagan;
• zararlangan server va kalitlarni aniqlagan;
• haqiqiy zarar bilan chalg‘ituvchi harakatlarni ajratgan;
• xavf ko‘lamini baholagan.

Kompaniya aytishicha, odatda bir necha kun talab qiladigan tekshiruv ishlari AI yordamida bir necha soat ichida yakunlangan.

Eng katta muammo: AI kompaniyaga yordam berishni rad etdi

Voqeaning eng qiziq qismi shu yerda boshlandi.

Dastlab Hugging Face xavfsizlik jamoasi hujum loglarini OpenAI va boshqa yirik kompaniyalarning tijoriy AI modellarida tahlil qilmoqchi bo‘lgan.

Biroq xavfsizlik filtrlari bunga yo‘l qo‘ymadi.

Sababi oddiy: tizim haqiqiy xavfsizlik mutaxassisi bilan xakerni farqlay olmadi. Tekshiruv uchun yuborilgan ma’lumotlar ichida:

• zararli buyruqlar;
• ekspluatatsiya kodlari;
• hujum skriptlari;
• boshqaruv serverlari haqidagi ma’lumotlar bor edi.

AI modellar esa bularni xavfli deb baholab, tahlil qilishni blokladi.

Shundan keyin Hugging Face o‘z serverlarida ishlaydigan ochiq model bo‘lgan GLM 5.2 dan foydalandi.

Bu kompaniyaga ikkita muhim ustunlik berdi:

1. Maxfiy ma’lumotlar uchinchi tomon serverlariga yuborilmadi.
2. Model xavfsizlik cheklovlari tufayli ishlashdan bosh tortmadi.

Hugging Face quyidagicha izoh berdi:

“Hujumchilar hech qanday foydalanish qoidalari bilan cheklanmagan edi. Biz esa dastlab foydalanishga uringan modellar xavfsizlik cheklovlari sababli o‘z tekshiruvimizni to‘liq amalga oshira olmadik.”

Foydalanuvchilar ma’lumotlari xavfsizmi?

Hozircha kompaniya quyidagilarni tasdiqladi:

• Ochiq AI modellari o‘zgartirilmagan.

• Datasetlar va Spaces xizmatlariga zarar yetmagan.

• Dasturiy ta’minot zanjiri buzilmagan.

• Ayrim ichki ma’lumotlar va tizim kalitlari qo‘lga kiritilgan.

• Hamkorlar va foydalanuvchilarning ma’lumotlari ta’sirlanganmi yoki yo‘qmi, bu hali tekshirilmoqda.

Xavfsizlik chorasi sifatida Hugging Face barcha foydalanuvchilarga:

• access tokenlarini yangilashni;
• akkauntdagi so‘nggi faollikni tekshirishni tavsiya qildi.

Hugging Face qanday choralar ko‘rdi?

Kompaniya:

• hujum amalga oshirilgan zaifliklarni yopdi;
• barcha zarar ko‘rgan serverlarni qayta tikladi;
• tizim kalitlarini almashtirdi;
• xavfsizlik nazoratini kuchaytirdi;
• kuzatuv tizimlarini yangiladi;
• mustaqil kiberxavfsizlik mutaxassislari bilan ishlashni boshladi;
• huquqni muhofaza qiluvchi organlarga murojaat qildi.

Bu nega muhim?

Bu hodisa AI yordamida amalga oshiriladigan kiberhujumlar endi kelajak ssenariysi emasligini ko‘rsatmoqda.

Avval hujumlar ortida odamlar turgan bo‘lsa, endi sun’iy intellekt minglab harakatlarni mustaqil bajarishi, zaifliklarni topishi va butun infratuzilma bo‘ylab harakatlanishi mumkin.

Shu bilan birga, Hugging Face yana bir muhim savolni o‘rtaga tashladi: agar hujumchilar cheklovsiz AI’dan foydalansa, himoyachilar esa xavfsizlik filtrlari bilan cheklangan modellar bilan ishlashga majbur bo‘lsa, kelajakdagi kiberxavfsizlik qanday ko‘rinishda bo‘ladi?

Kompaniya xulosasiga ko‘ra, yirik tashkilotlar hujum sodir bo‘lishidan oldin o‘z infratuzilmalarida ishlaydigan kuchli AI modellariga ega bo‘lishi kerak.