Buret var aldrig problemet. Nøglerne indeni var.

Den 8. juli skrev vi, at det at isolere, hvor en agent kører, ikke siger noget om, hvad den kan tage, fordi de legitimationsoplysninger, den skal bruge til at udføre sit arbejde, ligger inde i buret sammen med den. Otte dage senere oplyste Hugging Face, at en autonom agent havde kørt mere end 17.000 handlinger på tværs af deres interne clusters.

Intet slap ud. Intet behøvede at gøre det.

Det begyndte med et ondsindet datasæt med to måder at køre kode på: en remote-code-loader og en template-injection i datasættets config. At indlæse det var nok til at køre kode på en behandlingsworker.

Den worker var grænsen. Den holdt. Det gjorde bare ingen forskel.

Agenten tog node-adgang, høstede cloud- og cluster-legitimationsoplysningerne, der lå på maskinen, og brugte dem til at gå ind i andre interne clusters. Den holdt en sværm af kortlivede sandboxes kørende og genetablerede sin command-and-control på offentlige tjenester, hver gang en af dem døde. Over en weekend: 17.000 handlinger. Ingen skrev en eneste af dem.

Legitimationsoplysningerne på den worker var gyldige overalt, hvor agenten valgte at pege dem hen.

Nøglen lå bare der.

Hugging Face håndterede den svære del godt. Detektionen fangede et angreb, der var bygget til at ligne almindelig automatisering, indespærringen holdt, og de verificerede, at offentlige modeller, datasæt og Spaces var urørte, og at forsyningskæden var ren. Oplysningen var ligetil omkring, hvad der faktisk gik tabt: et begrænset sæt interne datasæt og legitimationsoplysninger, som flere tjenester var afhængige af. Forensics var sværere, end det burde have været, af grunde der er en andens diskussion at tage.

Vores er legitimationsoplysningen. En hemmelighed, der lever på den maskine, hvor kode kører, tilhører hvad end der kører næste gang. Det gælder for en .env på en bærbar, og det gælder for en cloud-legitimationsoplysning på en behandlingsworker hos et firma, der gør det her til levebrød. Agenten havde ikke brug for en snedig flugt. Den havde brug for en nøgle, der virkede et andet sted, og nøglen lå der.

Hold nøglerne ude af buret.

En legitimationsoplysning, der kun findes i det øjeblik kaldet sker, er ikke på workeren, når en agent begynder at lede. En, der er bundet til den maskine, den blev udstedt til, er død vægt i den næste sandbox. En agent, der kun kan nå den ene ting, den er navngivet til at nå, kan ikke opdage clusteret ved siden af. Og hvert brug skrives af boksen, hash-kædet, hvor en proces, der ejer maskinen, ikke kan omskrive sin egen historik.

Intet af det retter en dataset-loader. Kode kører stadig på den worker, og en legitimationsoplysning, der er aktiv i det øjeblik, kan stadig bruges i det øjeblik. Det, der ændrer sig, er arven: én afgrænset, udløbende nøgle til ét job i stedet for et nøglebundt, der rejser med. Intrusionen sker stadig. Den holder op med at være en weekend.

Buret er fint. Tøm det.

Hugging Faces bur virkede. Alle agent-platforme kappes om at bygge et bedre et, og det er det forkerte løb at vinde alene. Stil det andet spørgsmål: når noget indeni bliver vendt imod dig, hvad er der inden for rækkevidde? Hvis svaret er en legitimationsoplysning, der virker på den næste maskine, byggede du ikke en sandbox. Du byggede et rum med nøglerne tapede fast på indersiden.

De egenskaber en legitimationsoplysning skal have, når den proces, der holder om den, bliver overtaget: https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) er det legitimationsopbevaringssted, der er bygget til AI-agenter — og imod dem. clavitor.ai

Kilder

Hugging Face (@huggingface): "Security incident disclosure — July 2026." Den primære oplysning. Et intrusion drevet end-to-end af et autonomt agentsystem, ind via data-behandlingspipelinen gennem et ondsindet datasæt, der misbrugte to kodeeksekveringsstier (remote-code dataset-loader, template-injection i dataset-config). Uautoriseret adgang til et begrænset sæt interne datasæt og til flere legitimationsoplysninger, som tjenester brugte. Ingen tegn på manipulation med offentlige modeller, datasæt eller Spaces; softwareforsyningskæden verificeret ren. Mere end 17.000 registrerede angrebs-handlinger. [1]

The Hacker News (@TheHackersNews): "World's Largest AI Model Repository Hugging Face Breached by Autonomous AI Agent." [2]

Clavitor (@clavitorai): "The cage holds where the agent runs. Not what it can take." 8. juli 2026 — den forudsigelse, denne hændelse testede. [3]

(Kontrollér, at handles er aktive, før du poster: @huggingface, @TheHackersNews.)