La société d’intelligence artificielle (IA) Hugging Face a révélé vendredi avoir détecté un accès non autorisé à sa plateforme Spaces plus tôt cette semaine.
“Nous soupçonnons qu’un sous-ensemble des secrets de Spaces aurait pu être consulté sans autorisation”, a-t-il déclaré dans un avis.
Spaces offre aux utilisateurs un moyen de créer, d’héberger et de partager des applications d’IA et d’apprentissage automatique (ML). Il fonctionne également comme un service de découverte pour rechercher des applications d’IA créées par d’autres utilisateurs sur la plate-forme.
En réponse à l’événement de sécurité, Hugging Space a déclaré qu’il prenait la mesure de révoquer un certain nombre de jetons HF présents dans ces secrets et qu’il informait les utilisateurs dont les jetons ont été révoqués par e-mail.
“Nous vous recommandons d’actualiser n’importe quelle clé ou jeton et d’envisager de remplacer vos jetons HF par des jetons d’accès à granularité fine qui sont la nouvelle valeur par défaut”, ajoute-t-il.
Hugging Face, cependant, n’a pas révélé combien d’utilisateurs sont touchés par l’incident, qui fait actuellement l’objet d’une enquête plus approfondie. Il a également alerté les forces de l’ordre et les autorités chargées de la protection des données de la violation.
Cette évolution intervient alors que la croissance explosive du secteur de l’IA a placé les fournisseurs d’IA en tant que service (AIaaS) comme Hugging Face dans la ligne de mire des attaquants, qui pourraient les exploiter à des fins malveillantes.
Début avril, la société de sécurité cloud Wiz a détaillé les problèmes de sécurité dans Hugging Face qui pourraient permettre à un adversaire d’obtenir un accès entre locataires et d’empoisonner les modèles AI/ML en prenant en charge les pipelines d’intégration continue et de déploiement continu (CI/CD).
Des recherches antérieures entreprises par HiddenLayer ont également mis au jour des failles dans le service de conversion Hugging Face Safetensors qui permettaient de détourner les modèles d’IA soumis par les utilisateurs et d’organiser des attaques sur la chaîne d’approvisionnement.
“Si un acteur malveillant devait compromettre la plateforme de Hugging Face, il pourrait potentiellement accéder à des modèles d’IA privés, à des ensembles de données et à des applications critiques, entraînant des dommages étendus et un risque potentiel pour la chaîne d’approvisionnement”, ont noté les chercheurs de Wiz en avril.
