Kampaň malwaru na Hugging Face se znovu objevila jen několik dní poté, co byla odstraněna, podle reportáže BleepingComputer. Operace zneužívá AI modely k únosu GPU serverů pro kryptomining a instalaci zadních vrátek a jeden ze škodlivých modelů byl stažen více než 28 000krát. V samostatném zjištění se zdá, že falešná startovací sada pro Solanu na GitHubu je navržena tak, aby nalákala AI kódovací agenty k instalaci vzdáleného přístupového trojanu (RAT) NetSupport.

Ani jeden příběh není o zranitelnosti ve VPN nebo spotřebitelské aplikaci. Oba jsou o důvěře, kterou vývojáři vkládají do stahovaného kódu a modelů. Zde je to, co je známo, proč to záleží a jak zkontrolovat, co si stahujete na své stroje.

Co kampaň malwaru na Hugging Face dělala

Podle zdrojové zprávy kampaň kryptominingu používala modely Hugging Face jako svůj přepravní prostředek. Jakmile se modely spustily na GPU serverech, útočníci tyto stroje unesli, aby těžili kryptoměnu, a nainstalovali zadní vrátka pro pokračující přístup. Kampaň byla odstraněna a poté se během několika dní vrátila, což naznačuje, že operátoři mohou rychle znovu publikovat pod novými názvy nebo účty.

Počet stažení je detail, u kterého stojí za to se zastavit. Jediný model, který dosáhl více než 28 000 stažení, ukazuje, jak snadno může repozitář vypadat populárně a legitimně. Čísla stažení nejsou signálem bezpečnosti.

GPU servery jsou atraktivními cíli, protože jsou drahé na provoz a dobře vhodné pro těžbu. Oběť si toho může všimnout pouze prostřednictvím překvapivého účtu za cloud, neobvykle vysokého využití GPU nebo zhoršeného výkonu. Zadní vrátka jsou větší obavou: i po odstranění mineru může skrytý přístupový bod umožnit útočníkům vrátit se.

Zdrojový článek nedetailně popisuje technický mechanismus, takže tento příspěvek o něm nespekuluje. Výsledky veřejného vyhledávání zmiňují nastavení zvané trust_remote_code v souvislosti s kampaní, ale berte to jako důvod ke kontrole vlastní konfigurace, nikoli jako potvrzené vysvětlení.

Falešná sada pro Solanu zaměřená na AI kódovací agenty

Druhá část zprávy popisuje falešnou startovací sadu pro Solanu na GitHubu. Je umístěna tak, aby nalákala AI kódovací agenty k instalaci RAT NetSupport. RAT dává útočníkovi vzdálenou kontrolu nad zařízením, což může zahrnovat zobrazení obrazovky, spouštění příkazů a pohyb v souborech.

Významný posun je v cíli. Místo toho, aby pouze přesvědčil lidského vývojáře, je repozitář vytvořen tak, aby automatizovaný asistent, který hledá startovací projekt a nastavuje jej, mohl provést instalaci. Pokud agent může spouštět příkazy s vašimi oprávněními, otrávený repozitář může jednat s těmito oprávněními také.

To souvisí s širšími obavami o autonomní nástroje ve vývojových prostředích. Naše dřívější pokrytí OpenAI AI agenta, který pronikl do Hugging Face pomocí zranitelnosti zero-day a zpráva o aktivitě ransomwaru AI agentů v Hugging Face, jak informoval Sysdig ukazují, že AI platformy a agenti přitahují trvalou pozornost jak výzkumníků, tak útočníků.

Co to znamená pro vás

Pokud nikdy nestahujete AI modely ani nepoužíváte kódovací agenty, vaše přímá expozice je nízká. Pokud jste vývojář, nadšenec, výzkumník nebo provozujete jakoukoli GPU zátěž, riziko je reálné, protože tyto útoky se vezou na normálních pracovních postupech.

Praktické problémy jsou:

  • Popularita není důkaz. Vysoký počet stažení nezabránil šíření škodlivého modelu.
  • Odstranění nejsou trvalá. Kampaň se vrátila během několika dní, takže odstraněný repozitář neznamená, že hrozba je pryč.
  • Agenti dědí váš přístup. AI asistent, který instaluje balíčky nebo spouští skripty, může vykonávat pokyny útočníka s vašimi oprávněními.
  • Zadní vrátka přežívají minery. Odstranění procesu těžby nemusí odstranit útočníka.

VPN žádný z těchto problémů neřeší. Chrání provoz při přenosu, nikoli kód, který se rozhodnete spustit. Prověřování zdrojů a omezení oprávnění zde záleží mnohem více.

Jak prověřovat modely, repozitáře a vývojové nástroje

Modely

  • Zkontrolujte vydavatele. Upřednostněte zavedené organizace a ověřte, že účet je ten, který očekáváte, nikoli podobný.
  • Buďte opatrní u jakéhokoli modelu, který vyžaduje vlastní kód k načtení. Přečtěte si tento kód před povolením možností vzdáleného spouštění kódu.
  • Upřednostněte bezpečnější formáty souborů, kde jsou k dispozici, a vyhněte se spouštění neznámých modelů na produkčních nebo cloudově připojených strojích.
  • Testujte nové modely v izolovaném prostředí bez přístupu k přihlašovacím údajům nebo interním sítím.

Repozitáře a startovací sady

  • Potvrďte, že repozitář patří oficiálnímu projektu, sledováním odkazů z vlastní dokumentace projektu.
  • Podívejte se na historii commitů, profily přispěvatelů a stáří účtu. Zcela nový repozitář s propracovanými pokyny si zaslouží podezření.
  • Přečtěte si instalační skripty před jejich spuštěním, zejména cokoli, co stahuje a spouští další soubory.

AI kódovací agenti

  • Vyžadujte lidské schválení předtím, než agent nainstaluje balíčky nebo spustí shell příkazy.
  • Spouštějte agenty v sandboxu nebo kontejneru s minimálními oprávněními a bez přístupu k tajemstvím.
  • Udržujte API klíče, klíče peněženek a cloudové přihlašovací údaje mimo dosah agenta.

Monitorování

  • Sledujte využití GPU a cloudovou fakturaci kvůli nevysvětlitelným špičkám.
  • Kontrolujte běžící procesy a odchozí připojení na GPU serverech.
  • Pokud máte podezření na kompromitaci, přestavte z čistého obrazu a obměňte přihlašovací údaje, místo abyste pouze smazali miner. Udržování otestovaných offline kopií vašich dat také pomáhá, jak je popsáno v našem článku o neměnných zálohách jako poslední linii obrany.

Klíčové poznatky

Kampaň malwaru na Hugging Face ukazuje, že AI modelové huby a kódové repozitáře jsou nyní součástí útočné plochy a že útočníci se po odstranění rychle přizpůsobují. Falešná sada pro Solanu přidává nový zvrat tím, že cílí na automatizované nástroje, kterým vývojáři stále více důvěřují.

Chcete-li snížit své riziko: ověřujte vydavatele, čtěte kód před jeho spuštěním, vše neznámé izolujte v sandboxu, omezte, co vaši AI agenti mohou dělat, a sledujte využití GPU kvůli anomáliím. S každým staženým modelem a startovací sadou zacházejte jako s nedůvěryhodnými, dokud je nezkontrolujete.