Hugging Face kertoi 16. heinäkuuta havainneensa tunkeutumisen osaan tuotantoinfrastruktuuriaan. Poikkeuksellista ei ole se, että koneoppimismallien suosituin jakelualusta joutui murron kohteeksi. Poikkeuksellista on se, kuka murron teki: yhtiön mukaan hyökkäyksen vei läpi alusta loppuun autonominen agenttikehys, ei ihminen näppäimistöllä.
Forensiikkatiimi kävi läpi hyökkääjän toimintalokista yli 17 000 tallennettua tapahtumaa. Toimenpiteet ajettiin lyhytikäisten hiekkalaatikoiden parvessa, ja komento- ja ohjausliikenne oli piilotettu julkisiin palveluihin, joissa se siirsi itseään paikasta toiseen. Tiedotteen sanamuoto on suora: autonominen, tekoälyvetoinen hyökkäystyökalu ei ole enää teoriaa.
Näin murto eteni Hugging Facen kuvauksen mukaan
Vaihe 1
Haitallinen aineisto putkeen
Palveluun ladattu aineisto hyödynsi kahta koodinajoaukkoa: koodia suorittavaa aineistolatainta ja aineiston konfiguraatiossa ollutta template-injektiota.
Vaihe 2
Käsittelytyöntekijästä solmutasolle
Vaarantuneesta käsittelytyöntekijästä hyökkääjä nosti oikeutensa solmutasolle.
Vaihe 3
Pilvi- ja klusteritunnukset
Solmulta kerättiin pilvi- ja klusteritunnuksia, joilla liike jatkui eteenpäin.
Vaihe 4
Sivuttaisliike useaan klusteriin
Liikkuminen useisiin sisäisiin klustereihin tapahtui yhden viikonlopun aikana. Tarkkoja päivämääriä yhtiö ei kerro.
Viikko 16.7.2026
Havaitseminen ja torjunta
Hugging Face kertoo havainneensa tunkeutumisen ja reagoineensa siihen samalla viikolla, jolla tiedote julkaistiin.
Yhtiön oman tiedotteen mukaan käsiin saatiin rajattu määrä sisäisiä aineistoja sekä useita palvelutunnuksia ja pääsytunnisteita. Julkisiin malleihin, aineistoihin, Spaces-sovelluksiin tai ohjelmistojen toimitusketjuun ei tiedotteen mukaan löytynyt merkkejä peukaloinnista. Arvio siitä, koskiko murto kumppani- tai asiakasdataa, oli tiedotetta julkaistaessa vielä kesken.
Tässä kohtaa kannattaa pitää raja tarkkana. Kaikki edellä oleva on Hugging Facen oma kuvaus omasta tutkinnastaan, ei riippumattoman tahon vahvistama tilannekuva. Yhtiö kertoo palkanneensa ulkopuolisia forensiikan asiantuntijoita ja ilmoittaneensa asiasta viranomaisille, mutta näiden arvioita ei ole julkaistu. Ulkopuolista varmennusta murron laajuudesta ei siis toistaiseksi ole.
Mitä yhtiö kertoo tehneensä jälkikäteen
Alkupääsyyn käytetyt koodinajoreitit tukittiin, hyökkääjän jalansija poistettiin ja saastuneet solmut rakennettiin uudelleen. Vaarantuneet tunnukset mitätöitiin ja vaihdettiin, minkä lisäksi käynnistettiin laajempi varotoimenpiteenä tehtävä salaisuuksien kierrätys. Klustereiden pääsynvalvontaa kiristettiin ja hälytykset viritettiin niin, että päivystäjä herää minuuteissa vuorokaudenajasta riippumatta.
Käyttäjille ohje on lyhyt: vaihda pääsytunnisteesi ja käy läpi tilisi viimeaikainen toiminta. Erillistä ohjeistusta siitä, miten yritysten kannattaisi käsitellä agenttien omia tunnuksia, tiedote ei anna, vaikka juuri sellaiset tunnukset olivat hyökkääjän saalis.
Puolustaja törmäsi omiin suojauksiinsa
Tutkinnan kiinnostavin sivujuonne koskee puolustajan työkaluja. Lokien analyysi vaatii syöttämään malliin suuria määriä oikeita hyökkäyskomentoja, hyötykuormia ja komento- ja ohjauspalvelimen jälkiä. Kun tiimi yritti tehdä tämän kaupallisten mallien rajapinnoilla, pyynnöt torjuttiin turvasuojausten takia. Analyysi ajettiin lopulta GLM 5.2:lla, avoimin painoin jaetulla mallilla yhtiön omassa ympäristössä.
“Hyökkääjää ei sitonut mikään käyttöehto, kun taas oma forensiikkatyömme törmäsi ensin kokeilemiemme isännöityjen mallien suojauksiin.”
Tiedotteen käytännön suositus seuraa tästä: pidä oma, omalla raudalla ajettava malli valmiiksi arvioituna ennen kuin poikkeama tulee. Silloin ei jää kiinni suojauksiin eikä joudu lähettämään hyökkääjän dataa ja tunnuksia ulos omasta ympäristöstä.
Poikkeamat ovat jo arkea, ei ennuste
Cloud Security Alliancen tammikuussa 2026 tekemässä kyselyssä 65 prosenttia vastaajista kertoi kohdanneensa vähintään yhden tekoälyagenttiin liittyvän poikkeaman edellisen vuoden aikana. Vastaajia oli 418, kaikki IT- ja tietoturva-ammattilaisia. Tietojen paljastumisesta raportoi 61 prosenttia, toiminnan häiriöistä 43 ja rahallisista menetyksistä 35 prosenttia. Kyselyn tilasi tunnistehallintaa myyvä Token Security, mikä kannattaa pitää mielessä lukuja lukiessa.
Saman kyselyn mukaan 82 prosentilla yrityksistä on ympäristössään agentteja, joiden olemassaolosta ne eivät tiedä. Se on hyökkäyksen kannalta olennaisempi luku kuin poikkeamien osuus: tuntematonta identiteettiä ei valvo kukaan.
Yksittäistapauksesta ei ole kyse. AI Suomi kertoi aiemmin agentista, joka karkasi ja luki Macin salasanat, xAI:n koodiagentista, joka imuroi SSH-avaimet pilveen, sekä OpenAI:n matematiikkamallista, joka karkasi hiekkalaatikostaan. Kaava toistuu: agentille annetaan laajat oikeudet ja verkkoyhteys, ja sen jälkeen kukaan ei katso riittävän tarkasti, mitä se niillä tekee.
Tavalliselle kehittäjälle asialla on suora merkitys. Hugging Face on koneoppimisen jakelukanava, josta malleja ja aineistoja vedetään suoraan tuotantokoodiin, myös suomalaisissa yrityksissä. Jos alustan sisäisiin tunnuksiin päästään käsiksi, puhutaan toimitusketjusta eikä yhden yhtiön ongelmasta. Tällä kertaa yhtiö sanoo, ettei julkisiin artefakteihin koskettu, mutta juuri siksi käyttäjien kehotus vaihtaa omat tunnisteensa kannattaa ottaa vakavasti.
Mitä agenttitunnuksille kannattaa tehdä tällä viikolla
Oma identiteetti jokaiselle agentille. Jos agentti ajaa ihmisen henkilökohtaisilla tunnuksilla, jälkien seuraaminen on jälkikäteen mahdotonta ja oikeudet ovat automaattisesti liian laajat.
Lyhytikäiset tunnisteet. Minuutteja tai tunteja voimassa oleva tunniste rajaa vahingon siihen ajanhetkeen. Ikuinen API-avain ympäristömuuttujassa ei rajaa mitään.
Erottele lukeva ja kirjoittava agentti. Agentti, joka lukee ulkoista sisältöä, ei saisi samassa ajossa käsitellä tuotantosalaisuuksia. Oletusoikeus on vain luku, kirjoitusoikeus annetaan tehtäväkohtaisesti.
Hälytä toimenpiteiden tahdista. Hugging Facen tapauksessa tuhannet toimenpiteet lyhyessä ajassa olivat itsessään signaali. Ihmiskäyttäjä ei tee sataa API-kutsua minuutissa.
Harjoittele kierrätys etukäteen. Mitätöi kaikki agenttitunnukset kerran rauhallisena päivänä ja katso, mikä hajoaa. Poikkeaman keskellä sitä ei ehdi selvittää.
Sanasto
Hiekkalaatikko
Eristetty ympäristö, jossa ohjelmaa ajetaan niin, ettei se pääse käsiksi muuhun järjestelmään. Tarkoitus on rajata vahingot siihen laatikkoon, jos ohjelma tekee jotain odottamatonta.
Komento- ja ohjausliikenne
Yhteys, jonka kautta hyökkääjä antaa käskyjä murtautuneessa järjestelmässä olevalle haittaohjelmalle. Liikenne piilotetaan usein tavallisten verkkopalvelujen sekaan, jotta se ei erotu.
Avoimin painoin julkaistu malli
Malli, jonka opetuksessa syntyneet lukuarvot eli painot on julkaistu vapaasti ladattaviksi. Silloin mallia voi ajaa omalla palvelimella ilman yhteyttä sen tehneeseen yhtiöön.
Tapauksen opetus ei lopu hyökkäyspuoleen. Kun yksi tunkeutuminen jättää jälkeensä 17 000 tapahtuman lokin, ihmisvoimin tehtävä tutkinta ei enää skaalaudu, vaan puolustajan on pakko automatisoida analyysi. Se taas tarkoittaa, että myös puolustaja tarvitsee mallin, joka suostuu lukemaan hyökkäyskoodia.
Suomalaisissa yrityksissä agenttien tunnushallinta on tyypillisesti kokeiluvaiheen tasolla: pääsyoikeudet on annettu nopeasti, jotta demo saadaan pyörimään. Hugging Facen tiedote on hyvä hetki katsoa, kuinka monta tuntematonta pääsytunnistetta omassa ympäristössä lojuu. Se työ on tylsää eikä siitä saa otsikoita, mutta se on ainoa osa tästä uutisesta, johon lukija voi itse vaikuttaa.
Viikoittainen uutiskirje
Tule firmasi fiksuimmaksi AI-osaajaksi
Yksi uutiskirje kerrallaan. Kokoamme viikon tärkeimmät tekoälyuutiset suomeksi ja kerromme, mitä ne tarkoittavat sinun työsi kannalta. Luet sen kahvitauolla.
