Durant anys hem parlat dels riscos dels agents d’intel·ligència artificial en futur: sistemes capaços de trobar vulnerabilitats, encadenar exploits, robar credencials i moure’s per una infraestructura sense que un humà hagi d’anar prenent cada decisió.

Hugging Face acaba d’explicar que aquest futur ja ha arribat.

El 16 de juliol de 2026, l’empresa va revelar una intrusió en una part de la seva infraestructura de producció. No va ser especialment nova pel tipus de vulnerabilitats explotades. L’atac va començar en el pipeline de processament de datasets, on un dataset maliciós va aprofitar dos camins d’execució de codi: un carregador remot i una injecció de plantilles en una configuració.

El que converteix aquest incident en un punt d’inflexió és una altra cosa.

Segons Hugging Face, l’operació va ser executada, de principi a fi, per un sistema autònom d’agents d’intel·ligència artificial.

No era un hacker utilitzant ChatGPT

Quan parlem d’intel·ligència artificial aplicada a la ciberseguretat ofensiva, sovint imaginem una persona conversant amb un model.

L’atacant pregunta com funciona una tecnologia, demana ajuda per escriure un exploit, copia el resultat, l’executa i torna al model quan alguna cosa falla. La intel·ligència artificial actua com un assistent, però la persona continua dirigint l’operació.

L’incident de Hugging Face descriu una arquitectura molt diferent.

L’atac va ser operat per un framework autònom, aparentment construït sobre un agent harness especialitzat en investigació de seguretat. El sistema va executar milers d’accions individuals distribuïdes entre un eixam de sandboxes de vida curta. També va desplegar una infraestructura de comandament i control capaç de migrar entre serveis públics.

Això significa que l’agent no es va limitar a generar un fragment de codi maliciós. Va observar l’entorn, va provar accions, va interpretar-ne els resultats i va decidir què havia de fer després.

Després d’obtenir execució de codi en un worker de processament, el sistema va escalar fins a obtenir accés al node. A continuació va localitzar credencials del núvol i del clúster, les va recopilar i les va utilitzar per moure’s lateralment entre diversos clústers interns durant tot un cap de setmana.

Aquesta seqüència és important perquè requereix adaptació contínua.

Cada entorn té permisos, topologies, noms de serveis i mecanismes d’autenticació diferents. Un script tradicional només pot seguir una ruta prevista anteriorment. Un agent, en canvi, pot explorar l’entorn, formar hipòtesis, executar eines i modificar el pla segons les dades que troba.

No necessita que una persona li digui exactament quina credencial ha de buscar, quin clúster ha d’examinar o quin camí lateral ha de provar a continuació.

Pot descobrir-ho sobre la marxa.

L’autonomia canvia l’economia de l’atac

Un atac sofisticat requereix normalment moltes hores d’un operador experimentat. La persona ha de mantenir sessions, analitzar resultats, escriure scripts, revisar errors, buscar nous vectors i evitar que la infraestructura de comandament i control desaparegui.

Un agent pot fer aquesta feina sense cansar-se i sense perdre el fil.

Pot mantenir obertes desenes o centenars de línies d’investigació en paral·lel. Pot abandonar ràpidament els camins que no funcionen, aprofundir en els que produeixen resultats i conservar un registre estructurat del que ha après.

Hugging Face parla de més de 17.000 esdeveniments registrats durant l’operació. Aquesta escala ja no correspon a una conversa ocasional entre una persona i un chatbot. Correspon a un sistema automatitzat que executa una campanya persistent.

La capacitat tècnica d’explotar una vulnerabilitat concreta ja existia. El canvi és que ara es pot industrialitzar el procés complet.

Un sol operador pot posar en marxa una flota d’agents, donar-los un objectiu general i deixar que explorin infraestructures durant hores o dies. L’operador pot continuar supervisant la campanya, però ja no necessita decidir personalment cadascuna de les accions.

Aquesta diferència és semblant a la que hi ha entre utilitzar una eina manual i desplegar una fàbrica.

El sistema podia continuar sense mantenir una sessió humana

Un altre detall especialment revelador és l’ús d’un eixam de sandboxes efímers i d’un sistema de comandament i control automigratori.

Els sandboxes de vida curta permeten executar accions en entorns separats, descartar-los ràpidament i generar-ne de nous. Això dificulta atribuir tota l’activitat a una única màquina o sessió i permet escalar el nombre d’accions simultànies.

La migració del comandament i control indica que el sistema també podia reaccionar quan una peça de la seva infraestructura deixava de ser útil o podia ser detectada.

Aquest grau de resiliència havia estat tradicionalment responsabilitat d’un operador humà. Ara pot formar part del bucle de decisió de l’agent.

L’atac no depenia d’una persona connectada contínuament a una terminal. El sistema tenia prou capacitat operativa per mantenir la campanya activa, reconfigurar-se i continuar avançant.

No sabem quin model hi havia al darrere

Hugging Face afirma que encara no ha identificat el model utilitzat pels atacants.

Podria haver estat un model comercial modificat o sotmès a alguna tècnica per evitar-ne les restriccions. També podria haver estat un model de pesos oberts executat en infraestructura pròpia.

Aquest detall és rellevant, però no és el més important.

L’autonomia no prové només del model. Prové del sistema que l’envolta.

El model interpreta l’estat de l’entorn i proposa accions, però el harness proporciona memòria, eines, execució de codi, gestió de credencials, coordinació entre agents i persistència. També pot validar resultats, crear nous sandboxes i decidir quan una línia d’atac s’ha esgotat.

Fixar-se únicament en quin model es va utilitzar seria perdre de vista l’arquitectura completa.

Un model moderadament competent, connectat a les eines correctes i executat dins d’un bucle agent ben construït, pot ser més perillós que un model superior utilitzat només com a chatbot.

La defensa també va necessitar agents

Hugging Face va detectar i reconstruir l’atac utilitzant intel·ligència artificial.

El seu sistema de detecció aplicava triatge basat en models de llenguatge sobre la telemetria de seguretat. La correlació de diversos senyals va permetre identificar la intrusió entre el soroll habitual de l’operació.

Posteriorment, l’empresa va executar agents d’anàlisi sobre els més de 17.000 esdeveniments de l’atac. Aquests agents van reconstruir la cronologia, van extreure indicadors de compromís, van identificar les credencials afectades i van separar l’activitat real de les maniobres de distracció.

Segons Hugging Face, una investigació que habitualment hauria requerit dies es va poder completar en hores.

Aquest és probablement el segon gran canvi que mostra l’incident.

Quan l’atacant opera a velocitat de màquina, la defensa humana tradicional ja no pot seguir-lo només revisant logs, obrint tiquets i executant consultes manualment.

La resposta necessita la mateixa capacitat de paral·lelització, correlació i persistència.

Els agents ofensius obliguen a desplegar agents defensius.

Les proteccions dels models comercials van bloquejar els defensors

Durant l’anàlisi forense, Hugging Face va intentar utilitzar models avançats accessibles mitjançant APIs comercials. Els proveïdors van bloquejar les peticions perquè contenien ordres d’atac reals, exploits i artefactes de comandament i control.

Els sistemes de seguretat no podien distingir entre un atacant intentant millorar una intrusió i un equip de resposta intentant entendre-la.

Hugging Face va acabar executant GLM 5.2, un model de pesos oberts, dins de la seva pròpia infraestructura. Això va evitar els bloquejos i va garantir que les dades de l’atac i les credencials compromeses no sortissin del seu entorn.

L’asimetria és evident.

L’atacant podia utilitzar un sistema sense cap política d’ús efectiva, mentre que el defensor quedava limitat pels controls dels seus proveïdors.

A partir d’ara, les organitzacions amb infraestructures crítiques hauran de plantejar-se si necessiten un model propi, validat i preparat per a situacions d’emergència. No com a experiment de laboratori, sinó com una peça més del pla de resposta a incidents.

Quan arriba una intrusió real no és el moment de descobrir que el model es nega a analitzar les proves.

El precedent ja existeix

Cal mantenir una certa prudència. La informació pública disponible prové principalment de la mateixa Hugging Face i encara no disposem d’un informe forense complet i independent que permeti saber fins a quin punt cada decisió va ser autònoma.

“De principi a fi” tampoc significa necessàriament que no hi hagués cap supervisió humana. Un operador podria haver definit els objectius, iniciat el sistema, revisat-ne el progrés o intervingut en moments concrets.

Però aquesta distinció no elimina el canvi fonamental.

L’execució quotidiana de la campanya, formada per milers de decisions operatives, sembla haver estat delegada a un sistema agent. L’humà ja no necessitava ocupar-se de cada pas.

Aquest és el llindar que feia temps que esperàvem creuar.

Ja no parlem d’intel·ligència artificial que ajuda a escriure malware. Parlem d’un sistema que rep un objectiu, explora una infraestructura real, explota vulnerabilitats, escala privilegis, roba credencials, es mou lateralment i manté la seva pròpia operació durant dies.

El ciberatac autònom no és una demostració preparada, un benchmark ni un escenari hipotètic.

Segons Hugging Face, ja ha passat en producció.