Hugging Face Spaces 비밀 보안 업데이트

Spaces 비밀에 대한 무단 접근

2024년 5월 첫 주에 무단 접근이 감지되었으며, 이는 Hugging Face Spaces에 저장된 비밀과 관련이 있습니다. Hugging Face는 이러한 비밀 중 일부가 무단으로 접근되었을 가능성이 있다고 추정합니다.

즉각적인 위험을 완화하기 위해 Hugging Face는 해당 비밀에 포함된 여러 토큰을 이미 취소했습니다. 토큰이 취소된 사용자에게는 이메일로 통보되었습니다.

복구 및 사용자 조치

사용자는 Spaces에 비밀로 저장된 모든 키 또는 토큰을 새로 고칠 것을 강력히 권고합니다. 이번 보안 업그레이드의 일환으로, Hugging Face는 현재 기본 설정인 세분화된 접근 토큰으로 전환할 것을 권장합니다.

인프라 보안 개선

사건 이후, Hugging Face는 Spaces 인프라 보안을 강화하기 위해 여러 기술적 개선을 구현했습니다:

• Key Management Service (KMS): 플랫폼은 Spaces 비밀에 대한 암호화 및 관리를 개선하기 위해 Key Management Service (KMS)를 구현했습니다.
• Removal of Org Tokens: 조직 토큰을 완전히 제거하여 추적 가능성과 감사 기능을 강화했습니다.
• Leaked Token Identification: 시스템이 유출된 토큰을 식별하고 사전에 무효화하는 기능이 확대되고 강화되었습니다.
• Token Deprecation: 세분화된 접근 토큰이 기능 동등성을 달성하면 Hugging Face는 기존의 "classic" 읽기 및 쓰기 토큰을 폐기할 계획입니다.

컴플라이언스 및 조사

Hugging Face는 외부 사이버 보안 포렌식 전문가와 협력하여 사건을 조사하고 보안 정책을 검토하고 있습니다. 이 사건은 법 집행 기관 및 데이터 보호 당국에 보고되었습니다.