Una campaña de malware en Hugging Face ha resurgido apenas días después de haber sido desmantelada, según reportes de BleepingComputer. La operación abusa de modelos de IA para secuestrar servidores GPU con fines de criptominería e implantar puertas traseras, y uno de los modelos maliciosos fue descargado más de 28.000 veces. En un hallazgo separado, un kit de inicio falso de Solana en GitHub parece diseñado para engañar a agentes de codificación con IA y hacerles instalar un troyano de acceso remoto (RAT) NetSupport.

Ninguna de las dos historias trata de una vulnerabilidad en una VPN o en una aplicación de consumo. Ambas tratan sobre la confianza que los desarrolladores depositan en el código y los modelos que descargan. Esto es lo que se sabe, por qué importa y cómo verificar lo que traes a tus máquinas.

Qué hizo la campaña de malware de Hugging Face

Según el informe de la fuente, la campaña de criptominería utilizó modelos de Hugging Face como vehículo de entrega. Una vez que los modelos se ejecutaron en servidores GPU, los atacantes secuestraron esas máquinas para minar criptomonedas e implantaron puertas traseras para mantener el acceso. La campaña fue desmantelada y luego regresó en cuestión de días, lo que sugiere que los operadores pueden volver a publicar rápidamente bajo nuevos nombres o cuentas.

El conteo de descargas es el detalle ante el que vale la pena detenerse. Un solo modelo que alcanza más de 28.000 descargas muestra lo fácil que puede parecer popular y legítimo un repositorio. Los números de descargas no son una señal de seguridad.

Los servidores GPU son objetivos atractivos porque son costosos de operar y muy adecuados para la minería. Una víctima puede notarlo solo a través de una factura de nube sorpresa, un uso inusualmente alto de GPU o un rendimiento degradado. Las puertas traseras son la preocupación mayor: incluso después de eliminar un minero, un punto de acceso oculto puede permitir que los atacantes regresen.

El artículo de la fuente no detalla el mecanismo técnico, por lo que esta publicación no especula al respecto. Los resultados de búsqueda públicos mencionan una configuración llamada trust_remote_code en relación con la campaña, pero tómalo como una razón para revisar tu propia configuración en lugar de una explicación confirmada.

Un kit falso de Solana dirigido a agentes de codificación con IA

La segunda parte del informe describe un kit de inicio falso de Solana en GitHub. Está posicionado para engañar a agentes de codificación con IA y hacerles instalar un RAT NetSupport. Un RAT le da a un atacante control remoto de un dispositivo, lo que puede incluir ver la pantalla, ejecutar comandos y moverse por los archivos.

El cambio notable es el objetivo. En lugar de solo persuadir a un desarrollador humano, el repositorio está diseñado para que un asistente automatizado, que busca un proyecto de inicio y lo configura, pueda realizar la instalación. Si un agente puede ejecutar comandos con tus permisos, un repositorio envenenado también puede actuar con esos permisos.

Esto se conecta con preocupaciones más amplias sobre las herramientas autónomas en entornos de desarrollo. Nuestra cobertura anterior sobre un agente de IA de OpenAI que vulneró Hugging Face usando una falla de día cero y un informe sobre actividad de ransomware de agentes de IA en Hugging Face, según Sysdig muestran que las plataformas y los agentes de IA están atrayendo atención sostenida tanto de investigadores como de atacantes.

Qué significa esto para ti

Si nunca descargas modelos de IA ni usas agentes de codificación, tu exposición directa es baja. Si eres desarrollador, aficionado, investigador o ejecutas cualquier carga de trabajo en GPU, el riesgo es real porque estos ataques se aprovechan de flujos de trabajo normales.

Los problemas prácticos son:

  • La popularidad no es prueba. Un alto conteo de descargas no impidió que un modelo malicioso se propagara.
  • Los desmantelamientos no son permanentes. La campaña regresó en cuestión de días, así que un repositorio eliminado no significa que la amenaza haya desaparecido.
  • Los agentes heredan tu acceso. Un asistente de IA que instala paquetes o ejecuta scripts puede llevar a cabo las instrucciones de un atacante con tus privilegios.
  • Las puertas traseras sobreviven a los mineros. Eliminar un proceso de minería puede no eliminar al atacante.

Una VPN no aborda nada de esto. Protege el tráfico en tránsito, no el código que eliges ejecutar. Verificar las fuentes y limitar los permisos importa mucho más aquí.

Cómo evaluar modelos, repositorios y herramientas de desarrollo

Modelos

  • Verifica el editor. Prefiere organizaciones establecidas y confirma que la cuenta es la que esperas, no una imitación.
  • Sé cauteloso con cualquier modelo que requiera código personalizado para cargarse. Lee ese código antes de habilitar opciones de ejecución remota de código.
  • Prefiere formatos de archivo más seguros cuando estén disponibles, y evita ejecutar modelos desconocidos en máquinas de producción o conectadas a la nube.
  • Prueba nuevos modelos en un entorno aislado sin acceso a credenciales ni redes internas.

Repositorios y kits de inicio

  • Confirma que el repositorio pertenece al proyecto oficial siguiendo enlaces desde la documentación propia del proyecto.
  • Revisa el historial de commits, los perfiles de los contribuyentes y la antigüedad de la cuenta. Un repositorio recién creado con instrucciones pulidas merece sospecha.
  • Lee los scripts de instalación antes de ejecutarlos, especialmente cualquier cosa que descargue y ejecute archivos adicionales.

Agentes de codificación con IA

  • Requiere aprobación humana antes de que un agente instale paquetes o ejecute comandos de shell.
  • Ejecuta agentes en un sandbox o contenedor con permisos mínimos y sin acceso a secretos.
  • Mantén las claves de API, las claves de billetera y las credenciales de nube fuera del alcance del agente.

Monitoreo

  • Vigila la utilización de GPU y la facturación de la nube en busca de picos inexplicables.
  • Revisa los procesos en ejecución y las conexiones salientes en los servidores GPU.
  • Si sospechas de una compromiso, reconstruye desde una imagen limpia y rota las credenciales en lugar de solo eliminar el minero. Mantener copias probadas y sin conexión de tus datos también ayuda, como se cubre en nuestro artículo sobre copias de seguridad inmutables como última línea de defensa.

Conclusiones clave

La campaña de malware de Hugging Face muestra que los hubs de modelos de IA y los repositorios de código ahora forman parte de la superficie de ataque, y que los atacantes se adaptan rápidamente después de los desmantelamientos. El kit falso de Solana añade un giro nuevo al apuntar a las herramientas automatizadas en las que los desarrolladores confían cada vez más.

Para reducir tu riesgo: verifica a los editores, lee el código antes de ejecutarlo, aísla todo lo desconocido, restringe lo que tus agentes de IA pueden hacer y monitorea el uso de GPU en busca de anomalías. Trata cada modelo y kit de inicio descargado como no confiable hasta que lo hayas verificado.