Клітка ніколи не була проблемою. Проблемою були ключі всередині неї.

8 липня ми написали, що ізоляція місця, де працює агент, нічого не каже про те, що він може викрасти, бо облікові дані, потрібні йому для роботи, лежать у клітці поруч із ним. Через вісім днів Hugging Face повідомив, що автономний агент виконав понад 17 000 дій у його внутрішніх кластерах.

Нічого не вирвалося. І не треба було.

Усе почалося зі шкідливого набору даних із двома способами виконати код: завантажувачем із віддаленим кодом та ін'єкцією шаблонів у конфігурації набору. Достатньо було завантажити його, щоб виконати код на оброблювальному воркері.

Той воркер і був межею. Вона втрималася. Просто це нічого не значило.

Агент отримав доступ на рівні вузла, зібрав хмарні облікові дані та облікові дані кластерів, що лежали на тій машині, і скористався ними, щоб зайти в інші внутрішні кластери. Він утримував рій недовговічних пісочниць, щоразу переносячи канал керування на публічні сервіси, коли чергова пісочниця помирала. За вихідні — 17 000 дій. Жодної з них ніхто не ввів руками.

Облікові дані на тому воркері були чинними всюди, куди агент вирішив їх спрямувати.

Ключ просто лежав там.

Hugging Face добре впорався зі складною частиною. Виявлення зловило атаку, спроєктовану так, щоб виглядати як звичайна автоматизація, стримування втрималося, і вони підтвердили, що публічні моделі, набори даних і Spaces не постраждали, а ланцюжок постачання чистий. У повідомленні прямо сказано, що саме пішло: обмежений набір внутрішніх даних та облікові дані, від яких залежало кілька сервісів. Форензика далася складніше, ніж мала б, із причин, які — тема для чужої суперечки.

Наша тема — облікові дані. Секрет, що живе на машині, де виконується код, належить тому, що виконається наступним. Це стосується і .env на ноутбуці, і хмарних облікових даних на оброблювальному воркері компанії, яка робить це професійно. Агенту не потрібна була витончена втеча. Йому потрібен був ключ, чинний десь-інде, і ключ лежав просто там.

Тримайте ключі поза кліткою.

Облікові дані, що існують лише в мить виклику, не опиняються на воркері, коли агент починає шукати. Ті, що прив'язані до машини, для якої їх видано, — мертвий вантаж у наступній пісочниці. Агент, який може дістатися лише тієї єдиної цілі, для якої його названо, не знайде сусідній кластер. І кожне використання записується поза машиною, у ланцюжку хешів, де процес, що володіє машиною, не може переписати власну історію.

Нічого з цього не латає завантажувач наборів даних. Код усе ще виконується на тому воркері, і облікові дані, чинні в ту мить, усе ще можна витратити в ту саму мить. Змінюється успадкування: один обмежений за обсягом і строком ключ для одного завдання замість зв'язки ключів, що подорожує. Проникнення все одно стається. Просто воно більше не триває вихідні.

З кліткою все гаразд. Спорожніть її.

Клітка Hugging Face спрацювала. Кожна платформа для агентів намагається збудувати кращу, і це не ті перегони, які варто вигравати наодинці. Поставте інше запитання: коли щось усередині обертається проти вас, що опиняється в межах досяжності? Якщо відповідь — облікові дані, чинні на наступній машині, ви збудували не пісочницю. Ви збудували кімнату з ключами, приклеєними зсередини.

Властивості, якими повинні володіти облікові дані, коли процес, що їх тримає, захоплено: https://x.com/clavitorai/status/2071121333719625842

Clavitor (@clavitorai) — сховище облікових даних, створене для ШІ-агентів і проти них. clavitor.ai

Джерела

Hugging Face (@huggingface): "Повідомлення про інцидент безпеки — липень 2026." Основне повідомлення. Проникнення, яке автономна агентна система провела від початку до кінця, увійшовши через конвеєр обробки даних за допомогою шкідливого набору даних, що зловживав двома шляхами виконання коду (завантажувач наборів даних із віддаленим кодом, ін'єкція шаблонів у конфігурації набору даних). Несанкціонований доступ до обмеженого набору внутрішніх даних та до кількох облікових даних, якими користуються його сервіси. Немає свідчень втручання в публічні моделі, набори даних чи Spaces; програмний ланцюжок постачання перевірено — чистий. Понад 17 000 зафіксованих дій атакувальника. [1]

The Hacker News (@TheHackersNews): "Найбільше сховище ШІ-моделей у світі Hugging Face зламано автономним ШІ-агентом." [2]

Clavitor (@clavitorai): "Клітка втримує те, де працює агент. Не те, що він може викрасти." 8 липня 2026 — прогноз, який цей інцидент перевірив. [3]

(Перед публікацією перевірте, що облікові записи активні: @huggingface, @TheHackersNews.)