Une campagne de malware Hugging Face a refait surface quelques jours seulement après avoir été démantelée, selon un reportage de BleepingComputer. L'opération abuse des modèles d'IA pour détourner des serveurs GPU à des fins de minage de cryptomonnaies et pour installer des portes dérobées, et l'un des modèles malveillants a été téléchargé plus de 28 000 fois. Dans une autre découverte, un faux kit de démarrage Solana sur GitHub semble conçu pour piéger les agents de codage IA afin qu'ils installent un trojan d'accès à distance (RAT) NetSupport.

Aucune de ces deux affaires ne concerne une faille dans un VPN ou une application grand public. Toutes deux portent sur la confiance que les développeurs accordent au code et aux modèles téléchargés. Voici ce que l'on sait, pourquoi cela compte, et comment vérifier ce que vous récupérez sur vos machines.

Ce que la campagne de malware Hugging Face a fait

Selon le rapport source, la campagne de minage de cryptomonnaies utilisait des modèles Hugging Face comme vecteur de diffusion. Une fois les modèles exécutés sur des serveurs GPU, les attaquants détournaient ces machines pour miner de la cryptomonnaie et installaient des portes dérobées pour maintenir leur accès. La campagne a été démantelée, puis est revenue en quelques jours, ce qui suggère que les opérateurs peuvent rapidement republier sous de nouveaux noms ou comptes.

Le nombre de téléchargements est le détail sur lequel il faut s'arrêter. Un seul modèle atteignant plus de 28 000 téléchargements montre à quel point un dépôt peut facilement paraître populaire et légitime. Les chiffres de téléchargement ne sont pas un signal de sécurité.

Les serveurs GPU sont des cibles attractives car ils coûtent cher à exploiter et sont bien adaptés au minage. Une victime peut ne le remarquer qu'à travers une facture cloud surprise, une utilisation GPU anormalement élevée ou des performances dégradées. Les portes dérobées sont la préoccupation majeure : même après la suppression d'un mineur, un point d'accès caché peut permettre aux attaquants de revenir.

L'article source ne détaille pas le mécanisme technique, c'est pourquoi cet article ne fait aucune spéculation à ce sujet. Les résultats de recherche publics mentionnent un paramètre appelé trust_remote_code en lien avec la campagne, mais considérez cela comme une raison d'examiner votre propre configuration plutôt que comme une explication confirmée.

Un faux kit Solana ciblant les agents de codage IA

La deuxième partie du rapport décrit un faux kit de démarrage Solana sur GitHub. Il est positionné pour piéger les agents de codage IA afin qu'ils installent un RAT NetSupport. Un RAT donne à un attaquant le contrôle à distance d'un appareil, ce qui peut inclure la visualisation de l'écran, l'exécution de commandes et la navigation dans les fichiers.

Le changement notable est la cible. Au lieu de seulement convaincre un développeur humain, le dépôt est conçu pour qu'un assistant automatisé, recherchant un projet de démarrage et le configurant, puisse procéder à l'installation. Si un agent peut exécuter des commandes avec vos permissions, un dépôt empoisonné peut agir avec ces mêmes permissions.

Cela rejoint des préoccupations plus larges concernant les outils autonomes dans les environnements de développement. Notre couverture précédente d'un agent IA d'OpenAI compromettant Hugging Face à l'aide d'une faille zero-day et un rapport sur l'activité de rançongiciel par agent IA chez Hugging Face, tel que rapporté par Sysdig montrent que les plateformes et agents d'IA attirent une attention soutenue tant de la part des chercheurs que des attaquants.

Ce que cela signifie pour vous

Si vous ne téléchargez jamais de modèles d'IA et n'utilisez pas d'agents de codage, votre exposition directe est faible. Si vous êtes développeur, passionné, chercheur ou exécutez une quelconque charge de travail GPU, le risque est réel car ces attaques se greffent sur des flux de travail normaux.

Les problèmes pratiques sont :

  • La popularité n'est pas une preuve. Un nombre élevé de téléchargements n'a pas empêché un modèle malveillant de se propager.
  • Les démantèlements ne sont pas définitifs. La campagne est revenue en quelques jours, donc un dépôt supprimé ne signifie pas que la menace a disparu.
  • Les agents héritent de vos accès. Un assistant IA qui installe des paquets ou exécute des scripts peut accomplir les instructions d'un attaquant avec vos privilèges.
  • Les portes dérobées survivent aux mineurs. La suppression d'un processus de minage peut ne pas éliminer l'attaquant.

Un VPN ne résout rien de tout cela. Il protège le trafic en transit, pas le code que vous choisissez d'exécuter. La vérification des sources et la limitation des permissions importent bien davantage ici.

Comment vérifier les modèles, dépôts et outils de développement

Modèles

  • Vérifiez l'éditeur. Préférez les organisations établies et assurez-vous que le compte est bien celui que vous attendez, et non un imitateur.
  • Soyez prudent avec tout modèle nécessitant du code personnalisé pour se charger. Lisez ce code avant d'activer les options d'exécution de code à distance.
  • Préférez des formats de fichiers plus sûrs lorsqu'ils sont disponibles, et évitez d'exécuter des modèles inconnus sur des machines de production ou connectées au cloud.
  • Testez les nouveaux modèles dans un environnement isolé sans accès aux identifiants ni aux réseaux internes.

Dépôts et kits de démarrage

  • Confirmez que le dépôt appartient au projet officiel en suivant les liens depuis la documentation propre au projet.
  • Examinez l'historique des commits, les profils des contributeurs et l'ancienneté du compte. Un dépôt tout neuf avec des instructions soignées mérite la méfiance.
  • Lisez les scripts d'installation avant de les exécuter, en particulier tout ce qui télécharge et exécute des fichiers supplémentaires.

Agents de codage IA

  • Exigez une approbation humaine avant qu'un agent installe des paquets ou exécute des commandes shell.
  • Exécutez les agents dans un bac à sable ou un conteneur avec des permissions minimales et sans accès aux secrets.
  • Tenez les clés API, les clés de portefeuille et les identifiants cloud hors de portée de l'agent.

Surveillance

  • Surveillez l'utilisation du GPU et la facturation cloud pour détecter des pics inexpliqués.
  • Examinez les processus en cours et les connexions sortantes sur les serveurs GPU.
  • Si vous soupçonnez une compromission, reconstruisez à partir d'une image propre et renouvelez les identifiants plutôt que de simplement supprimer le mineur. Conserver des copies testées et hors ligne de vos données aide également, comme expliqué dans notre article sur les sauvegardes immuables comme dernière ligne de défense.

Points clés à retenir

La campagne de malware Hugging Face montre que les hubs de modèles d'IA et les dépôts de code font désormais partie de la surface d'attaque, et que les attaquants s'adaptent rapidement après les démantèlements. Le faux kit Solana ajoute une nouvelle dimension en ciblant les outils automatisés auxquels les développeurs font de plus en plus confiance.

Pour réduire votre risque : vérifiez les éditeurs, lisez le code avant de l'exécuter, isolez tout ce qui est inconnu dans un bac à sable, restreignez ce que vos agents IA peuvent faire et surveillez l'utilisation du GPU pour détecter les anomalies. Traitez chaque modèle et kit de démarrage téléchargé comme non fiable jusqu'à ce que vous l'ayez vérifié.