Eine Hugging-Face-Malware-Kampagne ist nur wenige Tage nach ihrer Abschaltung wieder aufgetaucht, wie BleepingComputer berichtet. Die Operation missbraucht KI-Modelle, um GPU-Server für Krypto-Mining zu kapern und Backdoors zu platzieren, und eines der bösartigen Modelle wurde mehr als 28.000 Mal heruntergeladen. In einem separaten Fund scheint ein gefälschtes Solana-Starterkit auf GitHub darauf ausgelegt zu sein, KI-Coding-Agenten dazu zu verleiten, einen NetSupport-Remote-Access-Trojaner (RAT) zu installieren.

Keine der beiden Geschichten handelt von einer Schwachstelle in einem VPN oder einer Consumer-App. Beide handeln vom Vertrauen, das Entwickler in heruntergeladenen Code und Modelle setzen. Hier ist, was bekannt ist, warum es wichtig ist und wie man prüft, was man auf seine Maschinen lädt.

Was die Hugging-Face-Malware-Kampagne tat

Laut dem Quellbericht nutzte die Krypto-Mining-Kampagne Hugging-Face-Modelle als Transportvehikel. Sobald die Modelle auf GPU-Servern liefen, kaperten die Angreifer diese Maschinen, um Kryptowährung zu schürfen, und platzierten Backdoors für weiterhin bestehenden Zugriff. Die Kampagne wurde abgeschaltet und kehrte innerhalb von Tagen zurück, was darauf hindeutet, dass die Betreiber schnell unter neuen Namen oder Konten erneut veröffentlichen können.

Die Download-Zahl ist das Detail, bei dem man innehalten sollte. Ein einzelnes Modell, das über 28.000 Downloads erreicht, zeigt, wie leicht ein Repository populär und legitim wirken kann. Download-Zahlen sind kein Sicherheitssignal.

GPU-Server sind attraktive Ziele, weil sie teuer im Betrieb und gut fürs Mining geeignet sind. Ein Opfer bemerkt dies möglicherweise nur durch eine überraschende Cloud-Rechnung, ungewöhnlich hohe GPU-Auslastung oder beeinträchtigte Leistung. Die Backdoors sind die größere Sorge: Selbst nachdem ein Miner entfernt wurde, kann ein versteckter Zugangspunkt es Angreifern ermöglichen, zurückzukehren.

Der Quellartikel beschreibt den technischen Mechanismus nicht im Detail, daher spekuliert dieser Beitrag nicht darüber. Öffentliche Suchergebnisse erwähnen eine Einstellung namens trust_remote_code im Zusammenhang mit der Kampagne, aber betrachten Sie dies als Grund, Ihre eigene Konfiguration zu überprüfen, und nicht als bestätigte Erklärung.

Ein gefälschtes Solana-Kit, das auf KI-Coding-Agenten abzielt

Der zweite Teil des Berichts beschreibt ein gefälschtes Solana-Starterkit auf GitHub. Es ist darauf ausgerichtet, KI-Coding-Agenten dazu zu verleiten, einen NetSupport RAT zu installieren. Ein RAT gibt einem Angreifer die Fernkontrolle über ein Gerät, was das Anzeigen des Bildschirms, das Ausführen von Befehlen und das Durchsuchen von Dateien umfassen kann.

Die bemerkenswerte Verschiebung ist das Ziel. Statt nur einen menschlichen Entwickler zu überzeugen, ist das Repository so gestaltet, dass ein automatisierter Assistent, der nach einem Starterprojekt sucht und es einrichtet, die Installation möglicherweise vornimmt. Wenn ein Agent Befehle mit Ihren Berechtigungen ausführen kann, kann ein vergiftetes Repository auch mit diesen Berechtigungen handeln.

Dies knüpft an breitere Bedenken bezüglich autonomer Werkzeuge in Entwicklungsumgebungen an. Unsere frühere Berichterstattung über einen OpenAI-KI-Agenten, der Hugging Face mithilfe einer Zero-Day-Schwachstelle kompromittiert und ein Bericht über KI-Agenten-Ransomware-Aktivitäten bei Hugging Face, wie von Sysdig gemeldet zeigen, dass KI-Plattformen und -Agenten anhaltende Aufmerksamkeit sowohl von Forschern als auch von Angreifern auf sich ziehen.

Was das für Sie bedeutet

Wenn Sie niemals KI-Modelle herunterladen oder Coding-Agenten verwenden, ist Ihre direkte Exposition gering. Wenn Sie Entwickler, Hobbyist, Forscher sind oder irgendeine GPU-Workload betreiben, ist das Risiko real, weil diese Angriffe sich an normale Arbeitsabläufe anhängen.

Die praktischen Probleme sind:

  • Popularität ist kein Beweis. Eine hohe Download-Zahl hat nicht verhindert, dass sich ein bösartiges Modell verbreitete.
  • Abschaltungen sind nicht dauerhaft. Die Kampagne kehrte innerhalb von Tagen zurück, sodass ein entferntes Repository nicht bedeutet, dass die Bedrohung vorbei ist.
  • Agenten erben Ihren Zugriff. Ein KI-Assistent, der Pakete installiert oder Skripte ausführt, kann die Anweisungen eines Angreifers mit Ihren Privilegien ausführen.
  • Backdoors überdauern Miner. Das Entfernen eines Mining-Prozesses entfernt möglicherweise nicht den Angreifer.

Ein VPN adressiert nichts davon. Es schützt Datenverkehr während der Übertragung, nicht den Code, den Sie ausführen möchten. Die Prüfung von Quellen und die Einschränkung von Berechtigungen sind hier weit wichtiger.

Wie man Modelle, Repositories und Dev-Tools prüft

Modelle

  • Prüfen Sie den Herausgeber. Bevorzugen Sie etablierte Organisationen und verifizieren Sie, dass das Konto das erwartete ist und kein Nachahmer.
  • Seien Sie vorsichtig bei jedem Modell, das benutzerdefinierten Code zum Laden erfordert. Lesen Sie diesen Code, bevor Sie Optionen zur Remote-Code-Ausführung aktivieren.
  • Bevorzugen Sie sicherere Dateiformate, wo verfügbar, und vermeiden Sie es, unbekannte Modelle auf Produktions- oder cloudverbundenen Maschinen auszuführen.
  • Testen Sie neue Modelle in einer isolierten Umgebung ohne Zugriff auf Anmeldedaten oder interne Netzwerke.

Repositories und Starterkits

  • Bestätigen Sie, dass das Repository zum offiziellen Projekt gehört, indem Sie Links aus der Dokumentation des Projekts selbst folgen.
  • Sehen Sie sich die Commit-Historie, Mitwirkendenprofile und das Alter des Kontos an. Ein brandneues Repo mit ausgefeilten Anleitungen verdient Misstrauen.
  • Lesen Sie Installationsskripte, bevor Sie sie ausführen, insbesondere alles, was zusätzliche Dateien herunterlädt und ausführt.

KI-Coding-Agenten

  • Verlangen Sie menschliche Genehmigung, bevor ein Agent Pakete installiert oder Shell-Befehle ausführt.
  • Führen Sie Agenten in einer Sandbox oder einem Container mit minimalen Berechtigungen und ohne Zugriff auf Geheimnisse aus.
  • Halten Sie API-Schlüssel, Wallet-Schlüssel und Cloud-Anmeldedaten außerhalb der Reichweite des Agenten.

Überwachung

  • Achten Sie auf GPU-Auslastung und Cloud-Abrechnung auf unerklärliche Spitzen.
  • Überprüfen Sie laufende Prozesse und ausgehende Verbindungen auf GPU-Servern.
  • Wenn Sie eine Kompromittierung vermuten, bauen Sie aus einem sauberen Image neu auf und rotieren Sie Anmeldedaten, statt nur den Miner zu löschen. Getestete Offline-Kopien Ihrer Daten zu behalten hilft ebenfalls, wie in unserem Beitrag über unveränderliche Backups als letzte Verteidigungslinie behandelt.

Wichtige Erkenntnisse

Die Hugging-Face-Malware-Kampagne zeigt, dass KI-Modell-Hubs und Code-Repositories jetzt Teil der Angriffsfläche sind und dass Angreifer sich nach Abschaltungen schnell anpassen. Das gefälschte Solana-Kit fügt eine neue Wendung hinzu, indem es auf die automatisierten Werkzeuge abzielt, denen Entwickler zunehmend vertrauen.

Um Ihr Risiko zu verringern: Verifizieren Sie Herausgeber, lesen Sie Code, bevor Sie ihn ausführen, sandboxen Sie alles Unbekannte, beschränken Sie, was Ihre KI-Agenten tun können, und überwachen Sie die GPU-Nutzung auf Anomalien. Behandeln Sie jedes heruntergeladene Modell und Starterkit als nicht vertrauenswürdig, bis Sie es geprüft haben.