この記事のポイント
この記事はHugging FaceのSpacesプラットフォームで発生したセキュリティ侵害について報じています。- 侵害発覚後、Hugging Faceは影響を受けるトークンの無効化とユーザーへの通知を迅速に行っております。
- セキュリティプロトコルと手順の見直しを行い、Spacesインフラのセキュリティ強化策が導入されました。
- また、細分化されたアクセストークンへの移行を推奨し、「クラシック」なトークンの廃止も計画しています。
- 法執行機関への報告、ユーザーサポート体制の整備、セキュリティの問い合わせ先を提供していることも明らかにしております。
監修者プロフィール
坂本 将磨
Microsoft AIパートナー、LinkX Japan代表。東京工業大学大学院で技術経営修士取得、研究領域：自然言語処理、金融工学。NHK放送技術研究所でAI、ブロックチェーン研究に従事。学会発表、国際ジャーナル投稿、経営情報学会全国研究発表大会にて優秀賞受賞。シンガポールでのIT、Web3事業の創業と経営を経て、LinkX Japan株式会社を創業。
AIと機械学習の研究開発をリードするHugging Faceが、自社提供のSpacesプラットフォームにおいてセキュリティ侵害が発覚したことを報告しました。
無許可でアクセスされた可能性がある機密データへの初動対応として、影響を受けるトークンの無効化とユーザーへの通知を迅速に行い、セキュリティプロトコルの見直しに着手しています。
本記事では、発生した侵害の詳細、Hugging Faceの緊急対応、強化されるセキュリティ対策およびユーザーサポート体制、そしてAI分野におけるセキュリティの重要性と今後の対策について考察します。
Hugging Faceのセキュリティ侵害発覚と初動対応
2024年5月31日、Hugging Faceは自社のSpacesプラットフォームで許可されていないアクセスがあったことを公表しました。
この侵害は、Spacesに関わる「秘密」へのアクセス、すなわち機密データに無許可でアクセスされた可能性があるとされています。
Hugging Faceは迅速に対応し、影響を受けた可能性のあるHFトークンを無効にしました。無効化されたトークンを持つユーザーには、メールで通知が行われています。
また、ユーザーに対しては、キーとトークンを更新し、より安全な細分化されたアクセストークンへの移行を推奨しています。
セキュリティプロトコルの見直しと強化
Hugging Faceはセキュリティ侵害に対処するため、外部のサイバーセキュリティ法医学の専門家と協力し、事件の調査とセキュリティポリシー及び手順の見直しを行っています。
このプロセスで、Spacesインフラのセキュリティを大幅に向上させるための改善策を複数導入しました。
具体的には、orgトークンの完全削除、キーマネージメントサービス（KMS）の実装、識別された漏洩トークンの無効化の強化、および全体的なセキュリティの向上が含まれます。
また、「クラシック」な読み取りと書き込みトークンを廃止し、細分化されたアクセストークンに完全移行する計画も発表しています。
法的機関への報告とユーザーへのサポート
このセキュリティ侵害に関して、Hugging Faceは法執行機関とデータ保護当局に報告を行いました。
同社は、この事件によりユーザーが受けたであろう不便と混乱に対して、深くお詫びの意を表明すると共に、今後のインフラのセキュリティ強化を誓っています。
また、ユーザーからの質問や懸念に対応するため、セキュリティ関連の問い合わせ先としてsecurity@huggingface.coへの連絡を促しています。
出典:Hugging Face
