Security incident disclosure — July 2026 — Hugging Face 披露 2026 年 7 月安全事件，强调零信任与审计重

• 攻击者通过泄露的 CI/CD 令牌访问内部系统，暴露了模型元数据和部分用户信息。
  • 含义：CI/CD 管道成为关键攻击面，开发者需严格管理令牌生命周期并实施最小权限原则。
• 事件触发后，团队立即轮换所有密钥、审计访问日志并引入强制多因素认证。
  • 含义：自动化密钥轮换和实时日志监控应成为工具链标配，以缩短响应窗口。
• 事后改进包括对模型仓库实施签名验证和依赖扫描，防止供应链投毒。
  • 含义：模型供应链安全需要从上传到部署的全链路完整性校验，类似软件包管理的最佳实践。

原文：Security incident disclosure — July 2026 · 作者 Hugging Face