La gabbia non è mai stata il problema. Erano le chiavi al suo interno.

L'8 luglio abbiamo scritto che isolare il luogo in cui viene eseguito un agente non dice nulla su cosa l'agente possa sottrarre, perché le credenziali di cui ha bisogno per svolgere il proprio compito si trovano insieme a lui dentro la gabbia. Otto giorni dopo Hugging Face ha reso noto che un agente autonomo aveva eseguito più di 17.000 azioni all'interno dei suoi cluster interni.

Nulla è uscito. Non ce n'era bisogno.

Tutto è iniziato da un dataset malevolo contenente due modalità di esecuzione di codice: un loader di dataset con remote-code e un template injection nella config del dataset. Caricarlo era sufficiente a eseguire codice su un worker di elaborazione.

Quel worker era il confine. Ha tenuto. Ma non ha avuto alcuna importanza.

L'agente ha ottenuto accesso a livello di nodo, raccolto le credenziali cloud e di cluster presenti su quella macchina e le ha usate per entrare in altri cluster interni. Ha mantenuto attivo uno sciame di sandbox di breve durata, riposizionando il proprio command-and-control su servizi pubblici man mano che ciascuna veniva chiusa. Nel corso di un weekend, 17.000 azioni. Nessuna digitata da una persona.

Le credenziali su quel worker erano valide ovunque l'agente decidesse di indirizzarle.

La chiave era semplicemente lì.

Hugging Face ha gestito bene la parte difficile. Il rilevamento ha intercettato un attacco concepito per sembrare una normale automazione, il contenimento ha tenuto, ed è stato verificato che i modelli, i dataset e gli Spaces pubblici non erano stati toccati e che la supply chain fosse pulita. La divulgazione è stata trasparente su ciò che è andato perduto: un insieme limitato di dataset interni e le credenziali da cui dipendevano diversi servizi. Le analisi forensi sono state più difficili di quanto avrebbero dovuto, per motivi che sono oggetto di una discussione che non ci compete.

Quello che ci riguarda è la credenziale. Un segreto che vive sulla macchina su cui viene eseguito il codice appartiene a qualsiasi cosa venga eseguita dopo. Vale per un .env su un laptop e vale per una credenziale cloud su un worker di elaborazione in un'azienda che vive di questo. All'agente non serviva una fuga elaborata. Serviva una chiave che funzionasse altrove, e la chiave era lì.

Tenere le chiavi fuori dalla gabbia.

Una credenziale che esiste solo nell'istante della chiamata non è presente sul worker quando un agente inizia a cercare. Una credenziale vincolata alla macchina per cui è stata emessa è peso morto nella sandbox successiva. Un agente che può raggiungere solo la singola risorsa per cui è stato dichiarato non può scoprire il cluster accanto. E ogni utilizzo viene registrato fuori dalla macchina, in catena di hash, dove un processo che possiede la macchina non può riscrivere la propria storia.

Niente di tutto questo aggiusta un loader di dataset. Il codice continua a essere eseguito su quel worker, e una credenziale attiva in quell'istante può comunque essere spesa in quell'istante. Ciò che cambia è l'eredità: una chiave delimitata e con scadenza per un singolo incarico, al posto di un portachiavi che viaggia con il processo. L'intrusione avviene comunque. Smette di durare un weekend.

La gabbia va bene. Va svuotata.

La gabbia di Hugging Face ha funzionato. Ogni piattaforma di agenti sta correndo per costruirne una migliore, e questa è la corsa sbagliata da vincere da soli. Ci si ponga l'altra domanda: quando qualcosa al suo interno si rivolge contro di Lei, cosa si trova alla portata? Se la risposta è una credenziale che funziona sulla macchina successiva, non ha costruito una sandbox. Ha costruito una stanza con le chiavi attaccate all'interno.

Le proprietà che una credenziale dovrebbe avere quando il processo che la detiene viene compromesso: https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) è il vault di credenziali costruito per gli agenti AI, e contro di essi. clavitor.ai

Fonti

Hugging Face (@huggingface): "Security incident disclosure — July 2026." La divulgazione primaria. Un'intrusione guidata di punta in punta da un sistema di agenti autonomi, entrata attraverso la pipeline di elaborazione dati tramite un dataset malevolo che sfrutta due percorsi di esecuzione di codice (dataset loader con remote-code, template injection nella config del dataset). Accesso non autorizzato a un insieme limitato di dataset interni e a diverse credenziali utilizzate dai suoi servizi. Nessuna evidenza di manomissione di modelli, dataset o Spaces pubblici; supply chain del software verificata pulita. Oltre 17.000 azioni dell'attaccante registrate. [1]

The Hacker News (@TheHackersNews): "World's Largest AI Model Repository Hugging Face Breached by Autonomous AI Agent." [2]

Clavitor (@clavitorai): "The cage holds where the agent runs. Not what it can take." 8 luglio 2026 — la previsione che questo incidente ha messo alla prova. [3]

(Verificare che gli handle siano attivi prima della pubblicazione: @huggingface, @TheHackersNews.)