周五下午晚些时候，在一家公司通常预留用于发布不利披露的时间窗口内，AI初创公司Hugging Face表示，其安全团队在本周早些时候检测到Spaces平台遭到“未经授权的访问”。Spaces是Hugging Face用于创建、共享和托管AI模型及资源的平台。
在一份博客文章中，Hugging Face表示，此次入侵涉及Spaces的密钥（secrets），即作为解锁受保护资源（如账户、工具和开发环境）钥匙的私有信息片段，并且该公司“怀疑”某些密钥可能已被第三方未经授权访问。
作为预防措施，Hugging Face已撤销了这些密钥中的许多令牌（tokens）。（令牌用于验证身份。）Hugging Face表示，令牌被撤销的用户已收到电子邮件通知，并建议所有用户“刷新任何密钥或令牌”，并考虑切换到更细粒度的访问令牌，Hugging Face声称后者更安全。
目前尚不清楚有多少用户或应用程序受到了此次潜在泄露事件的影响。
“我们正在与外部网络安全法医专家合作，调查此事以及审查我们的安全政策和程序。我们已向执法机构和数据[原文如此]保护当局报告了这一事件。”Hugging Face在帖子中写道。“我们对这一事件可能造成的干扰深表遗憾，也理解它给您带来的不便。我们承诺将以此为契机，加强整个基础设施的安全性。”
"过去几个月，我们观察到网络攻击数量显著增加，这可能是因为我们的使用量大幅增长，且AI正变得更加主流。从技术上讲，很难确定有多少Spaces密钥已被泄露。"
Spaces可能遭受黑客攻击之际，Hugging Face正面临对其安全实践日益增加的审视。Hugging Face是最大的协作式AI和数据科学项目平台之一，拥有超过一百万个模型、数据集和AI驱动的应用程序。
今年4月，云安全公司Wiz的研究人员发现了一个漏洞——该漏洞现已修复——允许攻击者在Hugging Face托管应用的构建期间执行任意代码，从而让他们能够从自己的机器上检查网络连接。今年早些时候，安全公司JFrog发现了证据，显示上传到Hugging Face的代码会秘密安装后门和其他类型的恶意软件到终端用户的机器上。而安全初创公司HiddenLayer则指出了Hugging Face表面上更安全的序列化格式Safetensors可能被滥用以创建被篡改的AI模型的方法。
Hugging Face最近表示它将与合作伙伴Wiz合作，使用该公司的漏洞扫描和云环境配置工具，“旨在提高我们平台及整个AI/ML生态系统的安全性。”