Ritorna la campagna malware di Hugging Face, un modello ha raggiunto 28.000 download

Secondo quanto riportato da BleepingComputer, una campagna malware su Hugging Face è riemersa solo pochi giorni dopo essere stata smantellata. L'operazione sfrutta i modelli di AI per dirottare server GPU per il crypto mining e installare backdoor, e uno dei modelli malevoli è stato scaricato più di 28.000 volte. In un'altra segnalazione, un falso starter kit per Solana su GitHub sembra progettato per indurre gli agenti di coding AI a installare un trojan di accesso remoto (RAT) NetSupport.

Nessuna delle due storie riguarda una vulnerabilità in una VPN o in un'app consumer. Entrambe riguardano la fiducia che gli sviluppatori ripongono nel codice e nei modelli scaricati. Ecco cosa è noto, perché è importante e come verificare ciò che scaricate sulle vostre macchine.

Cosa ha fatto la campagna malware di Hugging Face

Secondo il report originale, la campagna di crypto mining utilizzava i modelli di Hugging Face come veicolo di distribuzione. Una volta che i modelli venivano eseguiti sui server GPU, gli attaccanti dirottavano quelle macchine per minare criptovalute e installavano backdoor per mantenere l'accesso. La campagna è stata smantellata, poi è tornata nel giro di pochi giorni, il che suggerisce che gli operatori possono ripubblicare rapidamente sotto nuovi nomi o account.

Il conteggio dei download è il dettaglio su cui vale la pena soffermarsi. Un singolo modello che supera i 28.000 download dimostra quanto facilmente un repository possa sembrare popolare e legittimo. I numeri dei download non sono un segnale di sicurezza.

I server GPU sono obiettivi attraenti perché costosi da gestire e ben adatti al mining. Una vittima potrebbe accorgersene solo tramite una bolletta cloud a sorpresa, un utilizzo della GPU insolitamente elevato o prestazioni degradate. Le backdoor sono la preoccupazione maggiore: anche dopo la rimozione di un miner, un punto di accesso nascosto può consentire agli attaccanti di tornare.

L'articolo originale non dettaglia il meccanismo tecnico, quindi questo post non specula al riguardo. I risultati di ricerca pubblici menzionano un'impostazione chiamata trust_remote_code in relazione alla campagna, ma trattatela come un motivo per rivedere la vostra configurazione piuttosto che come una spiegazione confermata.

Un falso kit Solana mirato agli agenti di coding AI

La seconda parte del report descrive un falso starter kit per Solana su GitHub. È posizionato per indurre gli agenti di coding AI a installare un RAT NetSupport. Un RAT conferisce a un attaccante il controllo remoto di un dispositivo, che può includere la visualizzazione dello schermo, l'esecuzione di comandi e il movimento tra i file.

Il cambiamento notevole è il bersaglio. Invece di persuadere solo uno sviluppatore umano, il repository è costruito in modo che un assistente automatizzato, cercando un progetto starter e configurandolo, possa effettuare l'installazione. Se un agente può eseguire comandi con i vostri permessi, un repository avvelenato può agire con quegli stessi permessi.

Questo si ricollega a preoccupazioni più ampie sugli strumenti autonomi negli ambienti di sviluppo. La nostra precedente copertura di un agente AI di OpenAI che ha violato Hugging Face usando una vulnerabilità zero-day e un report sull'attività ransomware di agenti AI su Hugging Face, come riportato da Sysdig mostrano che le piattaforme e gli agenti AI stanno attirando un'attenzione costante da parte sia dei ricercatori che degli attaccanti.

Cosa significa per voi

Se non scaricate mai modelli di AI né utilizzate agenti di coding, la vostra esposizione diretta è bassa. Se siete sviluppatori, hobbisti, ricercatori o eseguite qualsiasi workload su GPU, il rischio è reale perché questi attacchi si insinuano nei flussi di lavoro normali.

Le questioni pratiche sono:

• La popolarità non è una prova. Un alto numero di download non ha impedito a un modello malevolo di diffondersi.
• Gli abbattimenti non sono permanenti. La campagna è tornata nel giro di pochi giorni, quindi un repository rimosso non significa che la minaccia sia svanita.
• Gli agenti ereditano i vostri accessi. Un assistente AI che installa pacchetti o esegue script può portare a termine le istruzioni di un attaccante con i vostri privilegi.
• Le backdoor sopravvivono ai miner. Rimuovere un processo di mining potrebbe non rimuovere l'attaccante.

Una VPN non affronta nulla di tutto questo. Protegge il traffico in transito, non il codice che scegliete di eseguire. Verificare le fonti e limitare i permessi conta molto di più in questo contesto.

Come verificare modelli, repository e strumenti di sviluppo

Modelli

• Controllate l'editore. Preferite organizzazioni consolidate e verificate che l'account sia quello che vi aspettate, non un sosia.
• Siate cauti con qualsiasi modello che richieda codice personalizzato per il caricamento. Leggete quel codice prima di abilitare opzioni di esecuzione di codice remoto.
• Preferite formati di file più sicuri quando disponibili ed evitate di eseguire modelli sconosciuti su macchine di produzione o connesse al cloud.
• Testate i nuovi modelli in un ambiente isolato senza accesso a credenziali o reti interne.

Repository e starter kit

• Confermate che il repository appartenga al progetto ufficiale seguendo i link dalla documentazione del progetto stesso.
• Esaminate la cronologia dei commit, i profili dei contributori e l'età dell'account. Un repository appena creato con istruzioni rifinite merita sospetto.
• Leggete gli script di installazione prima di eseguirli, specialmente qualsiasi cosa che scarichi ed esegua file aggiuntivi.

Agenti di coding AI

• Richiedete l'approvazione umana prima che un agente installi pacchetti o esegua comandi shell.
• Eseguite gli agenti in una sandbox o in un container con permessi minimi e senza accesso a segreti.
• Tenete le chiavi API, le chiavi dei wallet e le credenziali cloud fuori dalla portata dell'agente.

Monitoraggio

• Sorvegliate l'utilizzo della GPU e la fatturazione cloud per picchi inspiegati.
• Rivedete i processi in esecuzione e le connessioni in uscita sui server GPU.
• Se sospettate una compromissione, ricostruite da un'immagine pulita e ruotate le credenziali invece di limitarvi a eliminare il miner. Mantenere copie testate e offline dei vostri dati aiuta anch'esso, come trattato nel nostro articolo sui backup immutabili come ultima linea di difesa.

Punti chiave

La campagna malware di Hugging Face dimostra che gli hub di modelli AI e i repository di codice fanno ormai parte della superficie d'attacco, e che gli attaccanti si adattano rapidamente dopo gli abbattimenti. Il falso kit Solana aggiunge una nuova variante prendendo di mira gli strumenti automatizzati di cui gli sviluppatori si fidano sempre di più.

Per ridurre il rischio: verificate gli editori, leggete il codice prima di eseguirlo, isolate in sandbox qualsiasi cosa non familiare, limitate ciò che i vostri agenti AI possono fare e monitorate l'utilizzo della GPU per anomalie. Trattate ogni modello e starter kit scaricato come non attendibile finché non lo avete verificato.