Cyberangriff auf Hugging Face: Experten ordnen die neue Dimension von KI-Angriffen ein

Ein aktueller Cyberangriff beherrscht aktuell die Schlagzeilen: Ein autonomer KI-Agent nutzte Schwachstellen in der Datenverarbeitungs-Pipeline von Hugging Face aus. Über manipulierte Datensätze wurde Schadcode eingeschleust, der es dem Agenten ermöglichte, auf Clusterebene zu gelangen und Cloud-Zugangsdaten zu stehlen.

[datensicherheit.de, 21.07.2026] Ein aktueller Cyberangriff zeigt eindrucksvoll, wie sich die Bedrohungslage im Zeitalter der Künstlichen Intelligenz verändert. Im Zentrum des Vorfalls steht Hugging Face – eine der weltweit wichtigsten Plattformen für KI-Modelle, Datensätze und Entwickler-Tools. Das Unternehmen gilt als zentrale Infrastruktur der KI-Community und wird von Unternehmen, Forschungseinrichtungen und Technologieanbietern genutzt, um KI-Anwendungen zu entwickeln, zu trainieren und bereitzustellen.

Cyberangriff durch einen autonomen KI-Agenten

Bei dem Angriff nutzte ein autonomer KI-Agent Schwachstellen in der Datenverarbeitungs-Pipeline der Plattform aus. Über manipulierte Datensätze wurde Schadcode eingeschleust, der dem Agenten den Zugriff auf Cluster-Ressourcen ermöglichte und schließlich zum Diebstahl von Cloud-Zugangsdaten führte. Der Vorfall verdeutlicht, dass KI nicht nur neue Geschäftspotenziale eröffnet, sondern auch neuartige Angriffsvektoren schafft.

Für Führungskräfte bedeutet dies: Wer KI in seine Wertschöpfung integriert, muss Sicherheitsrisiken entlang der gesamten KI-Lieferkette ebenso strategisch betrachten wie klassische Cyberbedrohungen.

Kay Ernst, Manager DACH von Zero Networks, Foto: Zero Networks

Kay Ernst, Country Manager DACH bei Zero Networks, erklärt den Angriff und wie Unternehmen reagieren sollten:

„Am besten stellt man sich Hugging Face wie eine riesige öffentliche Bibliothek vor, in der die Leute statt Büchern KI-Modelle hochladen, die sich jeder nehmen und nutzen kann. Nun hat jemand ein ‚vergiftetes‘ Buch eingeschleust. Als das interne System der Bibliothek das Buch zur Katalogisierung öffnete, führte es im Hintergrund Code aus, anstatt einfach nur – wie vorgesehen – dazuliegen. Das reichte aus, um sich Zugang zum internen Verwaltungsbereich zu verschaffen. Von dort aus wurden Zugriffsschlüssel, interne Daten und diverse Zugangsdaten entwendet; über das Wochenende hinweg verschaffte sich der Angreifer Zugang zu immer weiteren Bereichen. Die öffentlichen Regale – also die Inhalte, die tatsächlich von der Allgemeinheit heruntergeladen werden – scheinen nach aktuellem Kenntnisstand unberührt geblieben zu sein. Der interne Verwaltungsbereich wurde jedoch gründlich durchforstet.

Was Hugging Face unternimmt – und was Unternehmen tun sollten

Hugging Face an sich hat in den vergangenen Jahren viel zur Verbesserung der Sicherheit getan. Früher wurde das Unternehmen in Vorträgen oft als warnendes Beispiel angeführt: Modelle mit verstecktem Schadcode, die für jedermann frei zum Download bereitstanden, ohne dass die Nutzer davon wussten. Als Reaktion darauf hatte Hugging Face die Speicherung der Modelle so umgestellt, dass sich dort kein Code mehr verbergen kann; zudem wurden Scan-Verfahren und Warnhinweise eingeführt. Das sind echte Fortschritte. Der aktuelle Vorfall ist jedoch eine andere Art von Einbruch; daher werden nun gezielt die Schwachstellen geschlossen, die ausgenutzt wurden, potenziell kompromittierte Schlüssel ausgetauscht und die Systeme auf einen möglichen zweiten Angriff hin genauer überwacht.

Betrachtet man die Situation bei Unternehmen allgemein: Die meisten verteidigen sich immer noch so, als säße am anderen Ende des Angriffs ein Mensch – jemand, der irgendwann müde wird oder unvorsichtig Spuren hinterlässt. Diese Annahme ist überholt. Wenn ein System eigenständig auf externe Daten zugreift, ohne dass ein Mensch dies vorab prüft, entsteht eine Schwachstelle, die ausgenutzt werden kann. Unternehmen sollten sich also nicht fragen: ‚Wie verhindern wir jeden Einbruch?‘ – denn das ist unmöglich. Die entscheidende Frage lautet vielmehr: ‚Wie weit kann ein Angreifer vordringen, sobald er erst einmal im System ist, bis wir ihn bemerken und isolieren?‘

Worauf man bei autonomen KI-Agenten im Cybersicherheitskontext achten sollte:

KI agiert wie ein Einbrecher, der niemals müde wird und keinen Schlaf braucht – und der nicht nur nacheinander an einzelnen Türklinken rüttelt, sondern tausende Türen gleichzeitig auf ihre Sicherheit prüft. Genau das ist hier passiert. Es war nicht etwa ein einzelner Mensch, der Befehle in ein Terminal tippte, sondern ein Schwarm kleiner, automatisierter Prozesse, die pausenlos agierten und ständig ihre Verstecke wechselten, um die Rückverfolgung zu erschweren. Was wirklich beunruhigt, ist Folgendes: Selbst das Sicherheitsteam von Hugging Face hatte Schwierigkeiten, KI-Tools für die Untersuchung des Angriffs einzusetzen. Diese Tools waren nämlich so programmiert, dass sie jegliche Eingaben verweigerten, die wie ein echter Angriffsbefehl aussahen – völlig unabhängig davon, ob sie von den „Guten“ stammten. Daraus lassen sich zwei Schlüsse ziehen: Diese Agenten können heute schneller und unerbittlicher agieren, als es einem Menschen je möglich wäre, und die Sicherheitsmechanismen, die wir entwickeln, sind nicht immer darauf ausgelegt, uns bei einer Reaktion in diesem Tempo zu unterstützen.

Bewährte Methoden zur Vermeidung ähnlicher Angriffe

Man kann nie verhindern, dass ein Schloss irgendwann geknackt wird. Worauf man jedoch Einfluss hat, ist das, was geschieht, sobald sich jemand im Haus befindet. Unternehmen müssen dafür sorgen, dass eine offene Tür nicht gleich den Zugang zu allen Räumen freigibt. Sie sollten Bereiche voneinander abtrennen, unterschiedliche Schlüssel für verschiedene Räume verwenden und die Situation so genau überwachen, dass ein Eindringling in einem kleinen Bereich feststeckt, anstatt das ganze Wochenende über ungehindert durch das gesamte Gebäude zu streifen.“

Angela Heindl-Schober, Chief Marketing Officer bei Synack, Bild: Synack

Angela Heindl-Schober von Synack betont die Bedeutung einer proaktiven Prävention:

„Zwei Aspekte machen den Hugging Face-Vorfall besonders bemerkenswert. Zum einen dient der Angriff als frühes Warnsignal. Der Einbruch wurde von einem autonomen KI-Agenten durchgeführt, der über einen manipulierten Datensatz eindrang, sich Zugriffsrechte auf Knotenebene verschaffte, Zugangsdaten abgriff und sich innerhalb eines einzigen Wochenendes seitwärts durch interne Cluster bewegte. Es wurden mehr als 17.000 einzelne Aktionen ausgeführt – alle protokolliert, aber vollautomatisch und ohne menschliches Eingreifen.

Bei der Aufklärung des Vorfalls versuchte Hugging Face zunächst, auf leistungsstarke ‚Frontier-KI-Modelle‘ zurückzugreifen, denen man bei solchen Aufgaben üblicherweise vertraut. Diese Modelle verweigerten jedoch den Dienst: Die Sicherheitsmechanismen, die verhindern sollen, dass KI böswillige Akteure unterstützt, konnten nicht zwischen einem Angreifer und einem Sicherheitsanalysten unterscheiden, die beide dieselben Exploit-Payloads und C2-Artefakte untersuchten. Hugging Face stellte fest: ‚Der Angreifer war an keine Nutzungsrichtlinien gebunden, während unsere eigene forensische Arbeit durch die Schutzmechanismen der zunächst genutzten Modelle blockiert wurde.‘ Letztlich führten sie die Untersuchung mit einem Open-Weight-Modell auf der eigenen Infrastruktur durch, um diese Hürde zu umgehen.

Proaktive Sicherheitschecks als kontinuierliche Aufgabe

Besonders positiv ist die Transparenz von Hugging Face. Ihre Offenlegung verdeutlicht, wie sich Angriffe auf die Lieferkette weiterentwickeln und wie KI-gestützte Attacken Angreifern schnelle Erfolge ermöglichen. Zudem unterstreicht der Vorfall den Wert lokaler Modelle gegenüber der ausschließlichen Nutzung von ‚Frontier-Modellen‘. Die aufgetretenen Probleme zeigen ein Dilemma auf: Die Schutzmechanismen, die verhindern sollen, dass KI-Angreifer unterstützt, behindern uns gleichzeitig bei der Reaktion, sobald ein Angreifer bereits in das System eingedrungen ist.

Die Lage wird zunehmend turbulent. Unternehmen müssen mehr denn je proaktiv überprüfen, ob ihre Tools und Prozesse den Anforderungen für den Unternehmenseinsatz entsprechen.“

Weitere Informationen zum Thema:

datensicherheit.de, 29.08.2025
PromptLock: ESET-Warnung vor erster autonomer KI-Ransomware

datensicherheit.de, 26.05.2025
Priviligierte Konten als Risiko für die Netzwerksicherheit