Buren var aldrig problemet. Nycklarna inuti den var.

Den 8 juli skrev vi att isolera var en agent kör inte säger något om vad den kan ta, eftersom de behörigheter den behöver för att göra sitt jobb ligger i buren tillsammans med den. Åtta dagar senare meddelade Hugging Face att en autonom agent hade kört mer än 17 000 åtgärder över dess interna kluster.

Inget lämnade buren. Inget behövde det.

Det började med en skadlig dataset med två sätt att köra kod: en remote-code-laddare och en mallinjektion i datasetets config. Räckte att ladda den för att köra kod på en bearbetnings-worker.

Workern var gränsen. Den höll. Det spelade bara ingen roll.

Agenten tog nodåtkomst, plockade moln- och klusterbehörigheterna som låg på maskinen och använde dem för att ta sig in i andra interna kluster. Den höll en svärm kortlivade sandlådor igång och lade om sin command-and-control på offentliga tjänster allteftersom de dog. Under en helg, 17 000 åtgärder. Ingen skrev in någon av dem.

Behörigheterna på den workern var giltiga överallt som agenten valde att rikta dem mot.

Nyckeln låg bara där.

Hugging Face hanterade den svåra delen bra. Upptäckten fångade ett angrepp byggt för att se ut som vanlig automatisering, inneslutningen höll och de verifierade att publika modeller, dataset och Spaces var orörda och att mjukvarukedjan var ren. Meddelandet var rakt på vad som faktiskt försvann: en begränsad mängd interna dataset och behörigheter som flera tjänster var beroende av. Forensiken var svårare än den borde ha varit, av skäl som någon annan får bråka om.

Vår fråga gäller behörigheten. En hemlighet som lever på maskinen där kod körs tillhör det som körs härnäst. Det gäller en .env på en bärbar dator och det gäller en molnbehörighet på en bearbetningsworker på ett företag som lever på det här. Agenten behövde ingen smart flyktväg. Den behövde en nyckel som fungerade någon annanstans, och nyckeln låg där.

Håll nycklarna utanför buren.

En behörighet som bara finns i anropets ögonblick ligger inte på workern när en agent börjar leta. En som är knuten till maskinen den utfärdades till är dödvikt i nästa sandlåda. En agent som bara kan nå den enda sak den pekats ut för kan inte upptäcka klustret bredvid. Och varje användning skrivs utanför maskinen, i en hash-kedja, där en process som äger maskinen inte kan skriva om sin egen historia.

Inget av detta lappar en dataset-laddare. Kod körs fortfarande på den workern, och en behörighet som är live i det ögonblicket kan fortfarande användas i det ögonblicket. Det som ändras är arvet: en avgränsad nyckel med utgångsdatum för ett jobb, i stället för en nyckelring som följer med. Intrånget sker fortfarande. Det slutar vara en helg.

Buren fungerar. Töm den.

Hugging Faces bur fungerade. Varje agentplattform tävlar om att bygga en bättre, och det är fel lopp att vinna ensam. Ställ den andra frågan: när något inuti den vänds mot dig, vad finns inom räckhåll? Om svaret är en behörighet som fungerar på nästa maskin byggde du ingen sandlåda. Du byggde ett rum med nycklarna tejpade på insidan.

De egenskaper en behörighet bör ha när processen som håller i den tas över: https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) är det behörighetsvalv som är byggt för AI-agenter, och mot dem. clavitor.ai

Källor

Hugging Face (@huggingface): "Security incident disclosure — juli 2026." Det primära meddelandet. Ett intrång som drevs från start till mål av ett autonomt agentsystem, in via dataprocessledningen med en skadlig dataset som utnyttjade två kodexekveringsvägar (remote-code dataset loader, mallinjektion i datasetets config). Obehörig åtkomst till en begränsad mängd interna dataset och till flera behörigheter som används av dess tjänster. Inga tecken på manipulation av publika modeller, dataset eller Spaces; mjukvarukedjan verifierad ren. Mer än 17 000 registrerade angriparåtgärder. [1]

The Hacker News (@TheHackersNews): "Världens största AI-modellförvaringsplats Hugging Face bruten av en autonom AI-agent." [2]

Clavitor (@clavitorai): "Buren håller där agenten kör. Inte vad den kan ta." 8 juli 2026 — prognosen som händelsen prövade. [3]

(Kontrollera att kontona är aktiva innan publicering: @huggingface, @TheHackersNews.)