Hugging Face descubrió un incidente que resalta futuras asimetrías en ciberseguridad.
El ataque comenzó con un conjunto de datos malicioso que explotaba dos rutas de ejecución de código en el sistema de procesamiento de datos. Luego, el agente autónomo accedió a los nodos, recopiló credenciales de nube y clúster y se movió entre clústeres internos.
En un fin de semana, el sistema realizó miles de acciones a través de entornos sandbox de corta duración. Quedan más de 17.000 eventos en los registros.
La parte más reveladora comenzó durante la investigación. El equipo de Hugging Face intentó analizar exploits, comandos y artefactos C2 reales utilizando modelos avanzados a través de API comerciales, pero los filtros de seguridad bloquearon las solicitudes.
Los modelos no pudieron distinguir el trabajo de un respondedor de incidentes de las acciones de un atacante.
Como resultado, el análisis se transfirió a un modelo de peso abierto GLM 5.2 autohospedado. Esto hizo posible estudiar el código malicioso sin bloquearlo y sin enviar registros, datos del atacante y credenciales mencionadas a un proveedor externo.
Surge una peligrosa asimetría:
- los atacantes lanzan agentes sin restricciones;
- los defensores pueden encontrarse con un bloqueo en un momento crítico;
- la telemetría sensible no siempre tiene que salir de la infraestructura de la empresa.
El equipo de seguridad debe tener un modelo preparado previamente que pueda ejecutarse localmente y utilizarse durante un incidente real.
Los ciberataques autónomos ya no son sólo un escenario de presentación. Ahora la pregunta es si las herramientas de seguridad están preparadas para funcionar a la misma velocidad.
https://huggingface.co/blog/security-incident-july-2026
@linuxkalii