Hugging Face użył chińskiego modelu GLM 5.2, bo zabezpieczenia amerykańskich AI blokowały analizę włamania

Firma Hugging Face padła w połowie lipca 2026 roku ofiarą włamania do swojej infrastruktury produkcyjnej. Gdy zespół bezpieczeństwa próbował przeanalizować atak za pomocą komercyjnych amerykańskich modeli AI, natrafił na nieoczekiwaną przeszkodę: same te modele blokowały przesyłanie danych potrzebnych do śledztwa. Firma przełączyła się na chiński otwarty model GLM 5.2, uruchomiony na własnych serwerach. Przypadek ten stał się kanwą dla głośnego eseju Bena Thompsona z Stratechery, który przekonuje, że to właśnie cyberbezpieczeństwo, a nie utrata rynku, jest jedynym poważnym zagrożeniem, jakie chińskie modele AI stwarzają dla Zachodu.

Włamanie i ślepy zaułek

Atakujący, opisywany przez Hugging Face jako zautomatyzowany agent AI, wykorzystał dwie luki w mechanizmach przetwarzania zbiorów danych na platformie: podatność pozwalającą na zdalne wykonanie kodu w loaderze datasetów oraz wstrzykiwanie szablonów w konfiguracji zbiorów. Dzięki temu zdobył dostęp na poziomie węzła obliczeniowego, przejął poświadczenia usług chmurowych i klastrów, a następnie poruszał się bocznie po wewnętrznej infrastrukturze firmy, wykorzystując do komunikacji command-and-control infrastrukturę osadzoną na publicznych usługach.

Skala ataku była znaczna: setki działań wykonanych w krótkotrwałych piaskownicach obliczeniowych, a łącznie ponad 17 tysięcy zarejestrowanych zdarzeń do przeanalizowania. Firma potwierdziła nieautoryzowany dostęp do części wewnętrznych zbiorów danych oraz przejęcie wielu poświadczeń usługowych, a ocena, czy naruszono dane partnerów lub klientów, wciąż trwała w momencie publikacji raportu o incydencie.

Zabezpieczenie, które zablokowało obrońców

Standardowa procedura analizy powłamaniowej wymaga od analityków przesyłania do modelu AI surowych danych ataku: rzeczywistych poleceń, ładunków exploitów, artefaktów komunikacji z serwerem dowodzenia. Właśnie to okazało się problemem. Zabezpieczenia komercyjnych amerykańskich modeli, projektowane z myślą o blokowaniu treści mogących posłużyć do ataku, nie odróżniały analityka reagującego na incydent od samego atakującego i odrzucały kolejne zapytania.

Analiza wymagała przesyłania dużych ilości rzeczywistych poleceń ataku, ładunków exploitów i artefaktów C2, a te żądania zostały zablokowane przez zabezpieczenia dostawców, które nie potrafią odróżnić reagującego na incydent od atakującego - Hugging Face, raport o incydencie bezpieczeństwa

Dlaczego akurat GLM 5.2

Zespół Hugging Face rozwiązał problem, uruchamiając otwarty model GLM 5.2 na własnej infrastrukturze. Rozwiązanie to dawało dwie korzyści naraz: brak jakichkolwiek zewnętrznych ograniczeń na treść zapytań oraz gwarancję, że wrażliwe dane o ataku i przechwycone poświadczenia nigdy nie opuszczą środowiska firmy. W opublikowanym po incydencie raporcie firma rekomendowała innym organizacjom, by miały sprawdzony, zdolny do pracy model gotowy do uruchomienia na własnej infrastrukturze jeszcze przed wystąpieniem incydentu.

Żadne dane atakującego ani powiązane z nimi poświadczenia nie opuściły naszego środowiska - Hugging Face, raport o incydencie bezpieczeństwa

Ekonomia chińskich modeli według Thompsona

Ben Thompson wykorzystał ten przypadek jako punkt wyjścia do szerszej analizy tego, czy Zachód faktycznie powinien obawiać się chińskich modeli otwartoźródłowych, takich jak Kimi K3 czy Qwen3.8 Max. Jego teza jest zaskakująco chłodna: z czysto rynkowego punktu widzenia panika jest w dużej mierze przesadzona. Inferencja modeli AI ma realny koszt bezpośrednio powiązany z przychodem, a niższa cena za token nie musi oznaczać niższego kosztu dostarczenia inteligencji, jeśli model potrzebuje więcej tokenów, by dojść do poprawnej odpowiedzi. Thompson rozróżnia tokeny od inteligencji: dostawcy chipów lubią mówić o AI jako o fabrykach tokenów, ale token to nie jest towar, towarem jest inteligencja. Dopóki popyt na moc obliczeniową przewyższa podaż, laboratoria czołowe w rodzaju Anthropic czy OpenAI utrzymują wysokie marże, bo oferują najwyższą jakość miesiące przed konkurencją.

Dystylacja jako realna przewaga

Jednym z mechanizmów, dzięki którym chińskie laboratoria doganiają czołówkę tańszym kosztem, jest dystylacja - trenowanie własnych modeli na podstawie odpowiedzi generowanych przez modele zachodnie, dostępne przez API. Zachodni deweloperzy modeli otwartych są związani regulaminami zabraniającymi takiej praktyki, podczas gdy chińskie firmy nie mają takich ograniczeń, co w praktyce stawia je w lepszej pozycji.

Dystylacja kompresuje kosztowną ostatnią lukę między silnym modelem bazowym a systemem bliskim czołówki i tworzy powtarzalną, strukturalną przewagę - Dean Meyer i Konstantine Buhler, cytowani w eseju Bena Thompsona

Thompson proponuje, by Stany Zjednoczone wprowadziły przepisy jednoznacznie dopuszczające dystylację jako dozwolony użytek, przy jednoczesnym zakazie regulaminów zabraniających jej amerykańskim firmom. W przeciwnym razie zachodni deweloperzy modeli otwartych będą systemowo gorzej pozycjonowani niż chińscy rywale.

Co to znaczy dla firm i regulatorów

Autor eseju nazwał podejście administracji Trumpa do ograniczania dostępu do modeli AI w kontekście cyberbezpieczeństwa błędem, argumentując, że nadmiernie restrykcyjne bariery uderzają przede wszystkim w obrońców, podczas gdy atakujący korzystają z dowolnych narzędzi bez żadnych ograniczeń. Jego zdaniem Stany Zjednoczone powinny poluzować ograniczenia na zastosowania modeli czołowych w cyberbezpieczeństwie i zadbać, by amerykańscy deweloperzy modeli otwartych konkurowali z Chinami na równych warunkach, zamiast liczyć na bariery regulacyjne.

Dla firm technologicznych, także w Polsce, incydent Hugging Face jest praktyczną lekcją: poleganie wyłącznie na komercyjnych API modeli AI w reagowaniu na incydenty bezpieczeństwa może zawieść w najgorszym możliwym momencie. Posiadanie sprawdzonego, samodzielnie hostowanego modelu, gotowego do analizy wrażliwych danych bez wysyłania ich na zewnątrz, staje się elementem planowania ciągłości działania na równi z kopiami zapasowymi czy planami odzyskiwania po awarii. Źródła: Who's Afraid of Chinese Models? (stratechery.com), Security incident disclosure - July 2026 (huggingface.co), Hugging Face hacked: Turned to Chinese LLM for help after US models blocked Blue Team (thestack.technology)