OpenAI objavio službeni izvještaj o sigurnosnom incidentu na Hugging Face platformi
OpenAI je posljednjih dana objavio detaljan izvještaj o ranijem sigurnosnom incidentu koji je pogodio Hugging Face — najpopularniju platformu za dijeljenje modela i skupova podataka u svijetu strojno učenja. Incijent, koji se odnosi naekompromitirane API ključeve i pristup privatnim repozitorijima, podigao je važna pitanja o sigurnosti lancu opskrbe u ekosustavu umjetne inteligencije.
Šta se dogodilo i zašto je važno
Prema izvještaju, napadači su uspjeli dobiti pristup API tokenima koje su razvijači i tvrtke koristili za automatsko implementiranje modela, treniranje i evaluaciju. U pitanju nisu samo javni modeli — kompromitirani su bili pristupi privatnim repozitorijima koje tvrtke čuvaju za internu upotrebu, fine-tuning i razvoj vlasničkih rješenja. OpenAI navodi da je incident obuhvatio "nekoliko diskretnih sigurnosnih kompromitiranja" tijekom dužeg vremenskog perioda, što ukazuje na sustavan problem, a ne jedinstven napadač.
Za enterprise tvrtke na Balkanu i u regionu, ovo je upozorenje. Mnoge organizacije u BiH, Hrvatskoj i Srbiji koriste Hugging Face kao primarnu platformu za hosting modela, a API ključevi se često dijele među timovima, hardkodiraju u CI/CD pipeline-e ili čuvaju u nezaštićenim okruženjima. Kad napad dovede do krađe tokena, napadač dobija pristup cijelom modelu, podacima za treniranje i potencijalno osjetljivim poslovnim informacijama.
Ključni izvodi za tehničke timove
- Rotacija ključeva mora postati rutina. Ne čekajte incident — rotirajte API tokenima svakih 30-60 dana, a odmah nakon bilo kojeg sumnjivog događaja.
- Princip najmanjih ovlasti. Koristite tokenima sa ograničenim dozvolama (read-only gdje je moguće), a ne admin pristup za sve operacije.
- Monitoring neobičnog ponašanja. Postavite alerte na naglo porast API poziva, pristup s novih IP adresa ili download velikih modela izvan radnog vremena.
- SBOM i provenance. Vodite evidenciju kojim modelima i skupovima podataka koristite, odakle dolaze i tko ima pristup — kao kod bilo kojeg softverskog artefakta.
Šta to znači za firme u BiH i regionu
Regulatorna okruženja u regionu se kreću u smjeru strožih zahtjeva za zaštitom podataka i sigurnošću IKT sustava (NIS2 direktiva u Hrvatskoj, zakoni o kibernetskoj sigurnosti u BiH i Srbiji). Incident na Hugging Face platformi pokazuje da sigurnost AI modela ne može biti posljica — mora biti ugrađena u razvojni lifecycle od prvog dana.
Za tvrtke koje grade AI rješenja za klijente (banke, telekomunikacije, javna uprava), kompromitirani model ili podaci za treniranje mogu značiti regulatorne kazne, gubitak povjerenja i pravne posljedice. BIXIE preporučuje: uvrstite provjeru sigurnosti model supply chain-a u vaše procurement procese i zahtijevajte od dobavljača dokaze o rotaciji ključeva i monitoring.
Izvor: TechCrunch, 26. avgust 2026