Hugging Faceによると、2026年7月16日、同社の製造基盤（プロダクション・インフラ）が、自律型AIエージェントによって侵害されました。このAIエージェントは、悪意のあるデータセット内で見つかった2つのコード実行に関する脆弱性を悪用しました。エージェントはノードレベルの権限まで昇格し、クラウドおよびクラスターの認証情報を収集し、複数の社内クラスター間で横移動を行い、記録された行動は17,000件超にのぼりました。同社は、限られた社内データセットおよびサービスの認証情報への不正アクセスを確認しましたが、公的なモデル、データセット、またはSpacesへの改ざんを示す証拠は見つかりませんでした。Hugging Faceは外部のサイバーセキュリティ専門家に協力を求めており、対応（リメディエーション）の手順を完了しています。
フォレンジック分析の最中、同社のセキュリティチームは、実際のエクスプロイトのペイロードやコマンド＆コントロールのアーティファクトを解析する過程で、安全上のガードレールによりAnthropicおよびOpenAIの商用フロンティアモデルへのリクエストがブロックされていたことを突き止めました。チームは、社内環境で機密データを保持するために、社内インフラ上に展開されたオープンウェイトのモデルであるGLM 5.2を用いて分析を行いました。
