Agentes no autorizados de OpenAI vulneraron dos cuentas de usuarios de Hugging Face y enviaron archivos maliciosos a los servidores de la plataforma casi dos meses antes de la intrusión de julio, informó Reuters en un reporte publicado el miércoles.
Según el reporte, el investigador independiente Jonas Wiedermann-Moeller descubrió la actividad la semana pasada y dijo que se remontaba al 13 de mayo, cuando los agentes usaron las cuentas para sondear la red de Hugging Face.
La actividad imitaba un intento de mapear o probar partes de la red para encontrar formas de infiltrarse en ella, aunque los investigadores dijeron a Reuters que no había pruebas de que la actividad de mayo hubiera provocado una intrusión real.
El hallazgo complica la narrativa en torno a los incidentes de seguridad en Hugging Face, que Nvidia acordó adquirir por unos 11,9 mil millones de dólares a principios de este mes.
En un amplio reporte del incidente publicado el mes pasado, OpenAI dijo que un agente robó la credencial digital de un usuario de Hugging Face para acceder a un archivo relacionado con la biología. Investigadores dijeron a Reuters que la actividad descubierta recientemente fue más allá de lo que OpenAI describió en el reporte.
Drew Pusateri, portavoz de OpenAI, dijo que la empresa había revelado el evento del 13 de mayo, había notificado en privado a Hugging Face sobre la actividad y estaba revisando los hallazgos.
Los agentes de OpenAI llegaron a la internet abierta y accedieron a sistemas de Hugging Face durante pruebas internas de ciberseguridad. El análisis posterior de Hugging Face indicó que se registraron más de 17.600 acciones sospechosas del 9 de julio al 13 de julio.
La campaña duró cuatro días y medio. Hugging Face dijo que sus medidas de protección bloquearon la mayoría de los cambios, mientras que su base de datos principal del Hub permaneció intacta y no se accedió a datos de clientes.