BleepingComputerの報道によると、Hugging Faceのマルウェアキャンペーンが削除されてからわずか数日で再び出現した。この作戦はAIモデルを悪用してGPUサーバーを乗っ取り、暗号通貨マイニングを行い、バックドアを仕込むもので、悪意のあるモデルの1つは28,000回以上ダウンロードされた。別の発見として、GitHub上の偽のSolanaスターターキットは、AIコーディングエージェントを騙してNetSupportリモートアクセス型トロイの木馬（RAT）をインストールさせようとするもののようだ。

どちらの話も、VPNやコンシューマーアプリの欠陥に関するものではない。どちらも、開発者がダウンロードしたコードやモデルに寄せる信頼に関するものだ。以下では、わかっていること、なぜ重要なのか、そしてマシンに取り込むものをどう確認するかを説明する。

Hugging Faceマルウェアキャンペーンが行ったこと

報道元によると、この暗号通貨マイニングキャンペーンはHugging Faceのモデルを配布手段として使用した。モデルがGPUサーバー上で実行されると、攻撃者はそれらのマシンを乗っ取って暗号通貨をマイニングし、継続的なアクセスのためのバックドアを仕込んだ。キャンペーンは削除されたが、数日以内に戻ってきた。これは、運営者が新しい名前やアカウントで素早く再公開できることを示唆している。

注目すべき詳細はダウンロード数だ。1つのモデルが28,000回以上ダウンロードされたという事実は、リポジトリが人気があり正当に見えることがいかに簡単かを示している。ダウンロード数は安全性の指標ではない。

GPUサーバーは、運用コストが高く、マイニングに適しているため、魅力的な標的となる。被害者は、予想外のクラウド請求、異常に高いGPU使用率、性能低下によって初めて気づくかもしれない。より大きな懸念はバックドアだ。マイナーを削除した後でも、隠されたアクセスポイントによって攻撃者が戻ってこられる可能性がある。

報道元の記事は技術的仕組みの詳細を述べていないため、この記事ではそれについて推測しない。公開検索結果では、このキャンペーンに関連してtrust_remote_codeと呼ばれる設定が言及されているが、それは確認された説明としてではなく、自身の設定を見直す理由として扱うべきだ。

AIコーディングエージェントを狙った偽のSolanaキット

報告の第2部では、GitHub上の偽のSolanaスターターキットについて説明している。これはAIコーディングエージェントを騙してNetSupport RATをインストールさせるように位置づけられている。RATは攻撃者にデバイスの遠隔制御を可能にし、画面の閲覧、コマンドの実行、ファイル内の移動などが含まれ得る。

注目すべき変化は標的だ。人間の開発者を説得するだけでなく、スタータープロジェクトを検索してセットアップする自動アシスタントがインストールを行ってしまうように、リポジトリが細工されている。エージェントがあなたの権限でコマンドを実行できるなら、汚染されたリポジトリもそれらの権限で動作できる。

これは、開発環境における自律型ツールに関するより広い懸念につながる。OpenAIのAIエージェントがゼロデイ脆弱性を利用してHugging Faceに侵入した件に関する以前の報道と、Sysdigが報告したHugging FaceにおけるAIエージェントのランサムウェア活動に関する報告は、AIプラットフォームとエージェントが研究者と攻撃者の双方から継続的な注目を集めていることを示している。

これがあなたにとって意味すること

AIモデルを一度もダウンロードせず、コーディングエージェントも使わないなら、直接的な露出は低い。開発者、趣味で使う人、研究者、またはGPUワークロードを実行する人なら、これらの攻撃は通常のワークフローに便乗するため、リスクは現実のものだ。

実務上の問題は次のとおりだ。

  • 人気は証明ではない。 高いダウンロード数は、悪意のあるモデルの拡散を止めなかった。
  • 削除は恒久的ではない。 キャンペーンは数日以内に戻ってきたため、削除されたリポジトリは脅威が消えたことを意味しない。
  • エージェントはあなたのアクセス権を引き継ぐ。 パッケージをインストールしたりスクリプトを実行したりするAIアシスタントは、あなたの権限で攻撃者の指示を実行できる。
  • バックドアはマイナーより長く残る。 マイニングプロセスを削除しても、攻撃者を削除できない場合がある。

VPNはこれらのいずれにも対処しない。VPNは通信中のトラフィックを保護するもので、あなたが実行を選ぶコードを保護するものではない。ここでは、配布元の精査と権限の制限の方がはるかに重要だ。

モデル、リポジトリ、開発ツールを精査する方法

モデル

  • 発行元を確認する。確立された組織を優先し、アカウントが似たものではなく、期待する本人のものであることを確認する。
  • 読み込みにカスタムコードを必要とするモデルには注意する。リモートコード実行オプションを有効にする前に、そのコードを読む。
  • 可能な場合はより安全なファイル形式を優先し、未知のモデルを本番環境やクラウド接続されたマシンで実行しない。
  • 新しいモデルは、認証情報や内部ネットワークにアクセスできない分離環境でテストする。

リポジトリとスターターキット

  • プロジェクト自身のドキュメントからリンクをたどり、リポジトリが公式プロジェクトのものであることを確認する。
  • コミット履歴、貢献者のプロフィール、アカウントの年齢を確認する。洗練された手順が付いた真新しいリポジトリは疑うに値する。
  • インストールスクリプトは実行前に読む。特に追加ファイルをダウンロードして実行するものには注意する。

AIコーディングエージェント

  • エージェントがパッケージをインストールしたりシェルコマンドを実行したりする前に、人間の承認を必須にする。
  • エージェントは、最小限の権限で、シークレットにアクセスできないサンドボックスまたはコンテナで実行する。
  • APIキー、ウォレットキー、クラウド認証情報をエージェントの手の届かない場所に置く。

監視

  • 説明のつかない急増がないか、GPU使用率とクラウド請求を監視する。
  • GPUサーバー上の実行中プロセスと外向き接続を確認する。
  • 侵害を疑う場合は、マイナーを削除するだけでなく、クリーンなイメージから再構築し、認証情報をローテーションする。テスト済みのオフラインコピーを保持することも役立つ。これについては、最後の防御線としての不変バックアップに関する記事で扱っている。

主な要点

Hugging Faceのマルウェアキャンペーンは、AIモデルハブとコードリポジトリが現在攻撃対象面の一部となっており、攻撃者が削除後すぐに適応することを示している。偽のSolanaキットは、開発者がますます信頼する自動化ツールを狙うことで新たなひねりを加えている。

リスクを減らすには、発行元を確認し、実行前にコードを読み、未知のものはすべてサンドボックス化し、AIエージェントにできることを制限し、GPU使用率の異常を監視する。ダウンロードしたすべてのモデルとスターターキットは、確認するまで信頼できないものとして扱うこと。