ANALISI
Hugging Face e l'agente AI autonomo: quando l'attaccante non è una persona
Il 16 luglio 2026 Hugging Face ha comunicato che un agente AI autonomo, entrato con un dataset malevolo, aveva rubato credenziali e dati interni con migliaia di azioni in pochi giorni. L'analisi: l'attaccante automatico, la supply chain dell'intelligenza artificiale, il wording delle polizze sull'AI e domande per i rinnovi.
Archivio: ricostruzione scritta a novembre 2026
Tema del mese di luglio 2026 · di cybercoverinsurance
Il 16 luglio 2026 Hugging Face, una delle principali piattaforme aperte per modelli e dati di intelligenza artificiale, ha comunicato che un attaccante era entrato nei suoi sistemi attraverso un dataset malevolo e aveva sottratto credenziali e dati interni. Secondo l'azienda, gran parte dell'attacco è stata condotta da un agente AI autonomo, con migliaia di azioni eseguite da uno sciame di ambienti temporanei, senza una persona alla tastiera.
Per chi assume il rischio cyber il caso pone tre domande nuove: cosa cambia quando l'attaccante è un agente automatico, come si assicura la supply chain dei modelli e dei dati AI, e cosa dicono le polizze quando il rischio nasce da sistemi di intelligenza artificiale.
Cosa si sa
L'ingresso. L'intrusione è partita dalla pipeline che elabora i dataset caricati sulla piattaforma. Un dataset malevolo ha sfruttato due vulnerabilità che permettevano di eseguire codice, una nel caricamento dei dataset e una nella gestione dei file di configurazione, e ha fatto girare codice su un nodo di elaborazione. Da lì l'attaccante ha rubato credenziali cloud e dei cluster e si è spostato su diversi cluster interni (BleepingComputer).
L'agente. Hugging Face ha descritto "molte migliaia di singole azioni attraverso uno sciame di ambienti temporanei", con server di comando ospitati su servizi pubblici. Secondo l'azienda, l'attacco sembrava costruito su uno strumento di ricerca di sicurezza basato su agenti. Non sa quale modello linguistico lo alimentasse (BleepingComputer). La Cloud Security Alliance, riprendendo la comunicazione dell'azienda, parla di oltre 17.000 azioni registrate e di un passaggio dall'accesso iniziale al movimento laterale nel corso di un fine settimana; questi dati non sono stati verificati in modo indipendente (CSA).
La risposta. Hugging Face ha chiuso le vulnerabilità, espulso l'attaccante, ricostruito i nodi compromessi e revocato e ruotato le credenziali. Ha detto di non aver trovato manomissioni dei modelli, dei dataset o degli spazi pubblici, e ha chiesto agli utenti di ruotare i propri token di accesso. Ha segnalato l'incidente alle forze dell'ordine (BleepingComputer). Secondo la CSA, il team forense non ha potuto usare modelli commerciali per analizzare il codice dell'attacco a causa dei filtri di sicurezza, e ha usato un modello aperto installato in proprio (CSA).
Cosa non è noto. Chi abbia lanciato l'agente, quale modello abbia usato, se siano stati esposti dati di partner o clienti e il costo dell'incidente non sono stati resi pubblici.
L'attaccante automatico
Velocità e volume. Migliaia di azioni in un fine settimana, da ambienti che nascono e spariscono (CSA). Un attacco di questo tipo comprime i tempi tra ingresso e danno. Per chi assume il rischio, il tempo di rilevamento e risposta dell'assicurato pesa più che mai, perché il margine per fermare l'attacco si riduce.
La difesa deve essere continua. Un agente lavora anche di notte e nel fine settimana. Un servizio di monitoraggio che funziona solo in orario d'ufficio, o controlli periodici invece che continui, lasciano finestre più ampie. Il questionario dovrebbe chiedere chi risponde a un allarme alle tre di notte di sabato.
L'attribuzione diventa più difficile. Hugging Face non sa chi ci sia dietro né quale modello sia stato usato (BleepingComputer). Per le clausole che dipendono dall'identità dell'attaccante, come le esclusioni per attacchi di Stato, un agente anonimo complica ancora di più la prova.
La supply chain dell'AI
Il dataset come vettore. L'ingresso è avvenuto con un file di dati, non con un programma (BleepingComputer). Le piattaforme che elaborano dati e modelli caricati da terzi eseguono, di fatto, contenuti esterni. È lo stesso rischio dei pacchetti open source, applicato ai dati.
Le credenziali dei nodi di elaborazione. Dal nodo compromesso l'attaccante ha raggiunto credenziali cloud e dei cluster (BleepingComputer). Le macchine che elaborano contenuti esterni dovrebbero avere privilegi minimi. È lo stesso principio visto con Trivy e la Commissione europea ad aprile.
Il cumulo potenziale. Hugging Face non ha trovato manomissioni dei modelli pubblici. Se ci fossero state, migliaia di organizzazioni che scaricano modelli dalla piattaforma sarebbero state esposte insieme. La piattaforma è un punto di cumulo per chiunque sviluppi applicazioni AI.
Il wording sull'AI
La polizza non distingue l'attaccante. Un attacco condotto da un agente AI resta, per la polizza cyber dell'assicurato, un attacco informatico. Non serve una nuova copertura per la vittima. La domanda nuova riguarda invece i danni causati dagli agenti AI dell'assicurato stesso.
Gli agenti dell'assicurato. Le aziende che usano agenti con accesso a sistemi e dati possono causare danni a sé o a terzi per un errore o un uso improprio dell'agente. Il mercato sta ancora definendo se questi danni rientrino nella polizza cyber, nella responsabilità professionale o in nessuna delle due.
Le esclusioni sull'AI. Quando una polizza introduce esclusioni o sottolimiti generici per i rischi legati all'intelligenza artificiale, il caso Hugging Face mostra che il rischio AI è già dentro il perimetro tradizionale della polizza cyber, e che escluderlo in modo generico può lasciare scoperti sinistri ordinari.
Cosa portare ai rinnovi
Impatto per gli assicuratoriAlto
Un agente AI autonomo, entrato con un dataset malevolo, ha rubato credenziali e dati interni di una delle principali piattaforme aperte per l'intelligenza artificiale, con migliaia di azioni in pochi giorni.
Sul fronte del portafoglio, il caso Hugging Face suggerisce di raccogliere dati sull'uso di piattaforme di modelli e dati AI da parte degli assicurati, e di rivedere il wording sull'intelligenza artificiale per distinguere chiaramente tra attacchi subiti, sempre coperti dalla polizza cyber, e danni causati dagli agenti dell'assicurato.