Der Hugging Face Hack ist der bislang prominenteste Fall, in dem ein autonomes KI-Agenten-System einen Angriff von Anfang bis Ende selbst gefahren haben soll – nach der agentischen Ransomware JadePuffer Anfang Juli bereits der zweite dokumentierte Vorfall dieser Art innerhalb weniger Wochen. Die Plattform, auf der ein Großteil der Open-Source-KI-Welt ihre Modelle und Datensätze hostet, hat den Vorfall am 16. Juli in einem eigenen Blogbeitrag offengelegt. Betroffen sind interne Datensätze und Zugangsdaten mehrerer Dienste.
Wie der Hugging Face Hack ablief
Der Einstieg erfolgte dort, wo KI-Plattformen strukturell verwundbar sind: in der Datenverarbeitung. Ein hochgeladener, präparierter Datensatz missbrauchte zwei Wege zur Codeausführung – einen Dataset-Loader mit Remote-Code und eine Template-Injection in einer Datensatz-Konfiguration. Damit lief fremder Code auf einem Verarbeitungs-Worker.
Klartext ins Postfach
KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.
Von dort eskalierte der Angreifer auf Node-Ebene, sammelte Cloud- und Cluster-Zugangsdaten ein und bewegte sich über ein Wochenende hinweg seitlich in mehrere interne Cluster. Hugging Face beschreibt das Vorgehen als autonomes Agenten-Framework, das viele tausend Einzelaktionen über einen Schwarm kurzlebiger Sandboxes ausführte, mit einer Command-and-Control-Infrastruktur, die sich selbst über öffentliche Dienste weiterbewegte.
Was nicht passiert ist
Wichtig für die Einordnung: Nach bisherigem Stand gibt es keine Hinweise auf Manipulationen an öffentlichen Modellen, Datensätzen oder Spaces. Die Software-Lieferkette – Container-Images und veröffentlichte Pakete – wurde als sauber verifiziert. Ob Partner- oder Kundendaten betroffen sind, war zum Zeitpunkt der Veröffentlichung noch in Prüfung.
Der interessanteste Teil: die Forensik
Erkannt wurde der Angriff durch die eigene Anomalie-Erkennung, die LLM-gestützt Sicherheitstelemetrie triagiert. Für die Auswertung mussten mehr als 17.000 aufgezeichnete Angreifer-Aktionen rekonstruiert werden. Hugging Face setzte dafür Analyse-Agenten ein und schaffte in Stunden, was sonst Tage gedauert hätte.
Bemerkenswert ist, womit das nicht ging. Der erste Versuch mit kommerziellen Frontier-Modellen scheiterte: Die Analyse erfordert das Einreichen echter Angriffsbefehle, Exploit-Payloads und C2-Artefakte – und genau das blockierten die Sicherheitsfilter der Anbieter, die einen Incident Responder nicht von einem Angreifer unterscheiden können. Ausgewertet wurde am Ende mit GLM 5.2, einem Open-Weight-Modell, auf eigener Infrastruktur. Zweiter Effekt: Weder Angreiferdaten noch die darin referenzierten Zugangsdaten verließen die eigene Umgebung.
Hugging Face nennt das die Asymmetrie: Der Angreifer war an keine Nutzungsrichtlinie gebunden, die Verteidiger liefen in die Leitplanken ihrer gehosteten Modelle. Die praktische Lehre der Firma: ein leistungsfähiges Modell, das man selbst betreiben kann, sollte vor dem Vorfall geprüft und einsatzbereit sein. Wer sich damit beschäftigen will, findet in meinem Ratgeber zur Hardware für lokale KI und LLMs die praktische Seite dazu.
Ein berechtigter Vorbehalt
Die Zuschreibung an einen autonomen KI-Agenten stammt von Hugging Face selbst. TechCrunch hat nachgefragt und nach eigenen Angaben zunächst keine Belege für diese Einordnung erhalten. Welches Modell die Agenten des Angreifers antrieb, ist ebenfalls offen – Hugging Face schreibt ausdrücklich, das sei unbekannt. Auch der Offenlegungszeitpunkt wird uneinheitlich berichtet: Hugging Face datiert den Blogbeitrag auf Donnerstag, den 16. Juli, TechCrunch schreibt von einer Offenlegung am Freitag. Man sollte den Fall also als sehr plausible, aber nicht extern verifizierte Zuschreibung lesen. Das ändert nichts an den technischen Fakten des Einbruchs, wohl aber an der Schlagzeile.
Was Sie jetzt tun sollten
- Zugangstokens rotieren, wenn Sie welche auf der Plattform gespeichert haben, und die Kontoaktivität prüfen.
- Datenpipelines als Angriffsfläche behandeln. Alles, was fremde Dateien parst, ist ein Ausführungskontext – nicht nur Speicher.
- Ausführungsrechte begrenzen: Verarbeitungs-Worker brauchen selten Cluster-Credentials.
- Forensik-Fähigkeit vorbereiten, inklusive eines lokal betreibbaren Modells.
Der Vorfall passt zur Entwicklung, die sich seit Monaten abzeichnet – von der KI-Ransomware JadePuffer bis zur wachsenden Bedeutung offener Modelle wie GLM 5.2, das hier ausgerechnet auf der Verteidigerseite den Ausschlag gab.
Quellen
- Hugging Face: Security incident disclosure – July 2026 (16.07.2026)
- TechCrunch: Hugging Face confirms breach affected internal datasets and credentials (20.07.2026)
- Help Net Security: Hugging Face breached by autonomous AI agent
- SecurityWeek: Hugging Face Hacked in Autonomous AI Attack
Diese Analysen als Newsletter
Ein Mal pro Woche Klartext zu KI, Security & Crypto – direkt in dein Postfach.
Jetzt anmelden