Кампания за зловреден софтуер в Hugging Face се появи отново само дни след като беше премахната, според репортаж на BleepingComputer. Операцията злоупотребява с AI модели, за да поеме контрол над GPU сървъри за крипто копаене и да засади бекдоори, като един от зловредните модели е бил изтеглен повече от 28 000 пъти. В отделна находка фалшив стартов комплект за Solana в GitHub изглежда е проектиран да подмами AI агенти за програмиране да инсталират NetSupport RAT (троянски кон за отдалечен достъп).

Нито една от двете истории не е за уязвимост във VPN или потребителско приложение. И двете са за доверието, което разработчиците възлагат на изтеглен код и модели. Ето какво се знае, защо е важно и как да проверите какво сваляте на машините си.

Какво направи кампанията за зловреден софтуер в Hugging Face

Според изходния репортаж кампанията за крипто копаене е използвала модели на Hugging Face като средство за доставяне. След като моделите се стартирали на GPU сървъри, атакуващите поели контрол над тези машини, за да копаят криптовалута, и засадили бекдоори за продължителен достъп. Кампанията била премахната, след което се завърнала в рамките на дни, което подсказва, че операторите могат бързо да публикуват отново под нови имена или акаунти.

Броят на изтеглянията е детайлът, на който си струва да се спрем. Един-единствен модел, достигнал над 28 000 изтегляния, показва колко лесно едно хранилище може да изглежда популярно и легитимно. Броят на изтеглянията не е сигнал за безопасност.

GPU сървърите са привлекателни цели, защото са скъпи за експлоатация и много подходящи за копаене. Жертвата може да забележи само чрез изненадваща сметка за облак, необичайно високо използване на GPU или влошена производителност. Бекдоорите са по-голямата тревога: дори след премахването на миньор, скрита точка за достъп може да позволи на атакуващите да се завърнат.

Изходната статия не описва подробно техническия механизъм, затова тази публикация не спекулира с него. Резултатите от публично търсене споменават настройка, наречена trust_remote_code, във връзка с кампанията, но приемете това като причина да прегледате собствената си конфигурация, а не като потвърдено обяснение.

Фалшив комплект за Solana, насочен към AI агенти за програмиране

Втората част от репортажа описва фалшив стартов комплект за Solana в GitHub. Той е позициониран така, че да подмами AI агенти за програмиране да инсталират NetSupport RAT. RAT дава на атакуващия отдалечен контрол над устройство, което може да включва наблюдение на екрана, изпълнение на команди и движение из файловете.

Забележимата промяна е в целта. Вместо само да убеди човешки разработчик, хранилището е изработено така, че автоматизиран асистент, който търси стартов проект и го настройва, да извърши инсталирането. Ако един агент може да изпълнява команди с вашите права, отровено хранилище може да действа със същите тези права.

Това се свързва с по-широките опасения относно автономните инструменти в средите за разработка. Предишното ни отразяване на AI агент на OpenAI, нарушил Hugging Face чрез zero-day уязвимост и репортаж за активност на ransomware от AI агенти в Hugging Face, според Sysdig показват, че AI платформите и агентите привличат постоянно внимание както от изследователи, така и от атакуващи.

Какво означава това за вас

Ако никога не изтегляте AI модели и не използвате агенти за програмиране, пряката ви експозиция е ниска. Ако сте разработчик, любител, изследовател или изпълнявате каквато и да е GPU работа, рискът е реален, защото тези атаки се възползват от нормалните работни流程.

Практическите проблеми са:

  • Популярността не е доказателство. Високият брой изтегляния не попречи на зловреден модел да се разпространи.
  • Премахването не е постоянно. Кампанията се завърна в рамките на дни, така че премахнато хранилище не означава, че заплахата е изчезнала.
  • Агентите наследяват вашия достъп. AI асистент, който инсталира пакети или изпълнява скриптове, може да изпълни инструкциите на атакуващия с вашите привилегии.
  • Бекдоорите надживяват миньорите. Премахването на процес за копаене може да не премахне атакуващия.

VPN не адресира нито едно от тези неща. Той защитава трафика при пренос, а не кода, който избирате да изпълнявате. Проверката на източниците и ограничаването на разрешенията са много по-важни тук.

Как да проверявате модели, хранилища и инструменти за разработка

Модели

  • Проверете издателя. Предпочитайте утвърдени организации и се уверявайте, че акаунтът е този, който очаквате, а не подобие.
  • Бъдете внимателни с всеки модел, който изисква персонализиран код за зареждане. Прочетете този код, преди да активирате опции за отдалечено изпълнение на код.
  • Предпочитайте по-безопасни файлови формати, когато са налични, и избягвайте изпълнение на неизвестни модели на производствени или свързани с облак машини.
  • Тествайте нови модели в изолирана среда без достъп до идентификационни данни или вътрешни мрежи.

Хранилища и стартови комплекти

  • Потвърдете, че хранилището принадлежи на официалния проект, като следвате връзки от собствената документация на проекта.
  • Разгледайте историята на комитите, профилите на сътрудниците и възрастта на акаунта. Чисто ново хранилище с излъскани инструкции заслужава подозрение.
  • Прочетете инсталационните скриптове, преди да ги изпълните, особено всичко, което изтегля и изпълнява допълнителни файлове.

AI агенти за програмиране

  • Изисквайте човешко одобрение, преди агент да инсталира пакети или да изпълнява shell команди.
  • Изпълнявайте агентите в пясъчник или контейнер с минимални разрешения и без достъп до тайни.
  • Дръжте API ключове, ключове за портфейли и облачни идентификационни данни извън обсега на агента.

Мониторинг

  • Наблюдавайте използването на GPU и облачното фактуриране за необясними скокове.
  • Преглеждайте текущите процеси и изходящите връзки на GPU сървърите.
  • Ако подозирате компрометиране, преизградете от чист образ и сменете идентификационните данни, вместо само да изтриете миньора. Запазването на тествани офлайн копия на данните ви също помага, както е разгледано в нашата статия за неизменяемите резервни копия като последна линия на защита.

Основни изводи

Кампанията за зловреден софтуер в Hugging Face показва, че хъбовете за AI модели и хранилищата за код вече са част от повърхността за атака и че атакуващите се адаптират бързо след премахване. Фалшивият комплект за Solana добавя нова хватка, като се насочва към автоматизираните инструменти, на които разработчиците все повече се доверяват.

За да намалите риска: проверявайте издателите, четете кода, преди да го изпълните, изолирайте в пясъчник всичко непознато, ограничавайте какво могат да правят вашите AI агенти и наблюдавайте използването на GPU за аномалии. Отнасяйте се към всеки изтеглен модел и стартов комплект като към недоверен, докато не го проверите.