Een Hugging Face-malwarecampagne is slechts dagen na ontmanteling opnieuw opgedoken, volgens berichtgeving van BleepingComputer. De operatie misbruikt AI-modellen om GPU-servers te kapen voor cryptomining en backdoors te plaatsen, en een van de kwaadaardige modellen werd meer dan 28.000 keer gedownload. In een afzonderlijke bevinding lijkt een nep-Solana-starterkit op GitHub ontworpen om AI-codeeragenten te misleiden een NetSupport remote-access trojan (RAT) te installeren.

Geen van beide verhalen gaat over een kwetsbaarheid in een VPN of een consumentenapp. Beide gaan over het vertrouwen dat ontwikkelaars stellen in gedownloade code en modellen. Hier is wat bekend is, waarom het ertoe doet, en hoe je kunt controleren wat je op je machines haalt.

Wat de Hugging Face-malwarecampagne deed

Volgens het bronrapport gebruikte de cryptominingcampagne Hugging Face-modellen als leveringsmechanisme. Zodra de modellen op GPU-servers draaiden, kaapten de aanvallers die machines om cryptocurrency te minen en plaatsten ze backdoors voor blijvende toegang. De campagne werd ontmanteld en keerde binnen enkele dagen terug, wat erop wijst dat de operators snel opnieuw kunnen publiceren onder nieuwe namen of accounts.

Het downloadaantal is het detail waarbij je even stil moet staan. Een enkel model dat meer dan 28.000 downloads bereikt, laat zien hoe gemakkelijk een repository populair en legitiem kan lijken. Downloadaantallen zijn geen veiligheidssignaal.

GPU-servers zijn aantrekkelijke doelwitten omdat ze duur zijn in gebruik en zeer geschikt voor mining. Een slachtoffer merkt het mogelijk alleen via een verrassende cloudfactuur, ongewoon hoog GPU-gebruik of verminderde prestaties. De backdoors zijn de grotere zorg: zelfs nadat een miner is verwijderd, kan een verborgen toegangspunt aanvallers in staat stellen terug te keren.

Het bronartikel gaat niet in detail in op het technische mechanisme, dus dit bericht speculeert daar niet over. Openbare zoekresultaten noemen een instelling genaamd trust_remote_code in verband met de campagne, maar beschouw dat als een reden om je eigen configuratie te controleren in plaats van als een bevestigde verklaring.

Een nep-Solana-kit gericht op AI-codeeragenten

Het tweede deel van het rapport beschrijft een nep-Solana-starterkit op GitHub. Het is gepositioneerd om AI-codeeragenten te misleiden een NetSupport RAT te installeren. Een RAT geeft een aanvaller op afstand controle over een apparaat, waaronder het bekijken van het scherm, het uitvoeren van opdrachten en het doorlopen van bestanden.

De opvallende verschuiving is het doelwit. In plaats van alleen een menselijke ontwikkelaar te overtuigen, is de repository zo gemaakt dat een geautomatiseerde assistent, die een starterproject zoekt en opzet, mogelijk de installatie uitvoert. Als een agent opdrachten kan uitvoeren met jouw rechten, kan een vergiftigde repository ook met die rechten handelen.

Dit sluit aan bij bredere zorgen over autonome tools in ontwikkelomgevingen. Onze eerdere berichtgeving over een OpenAI AI-agent die Hugging Face binnendringt met behulp van een zero-day-kwetsbaarheid en een rapport over AI-agent-ransomwareactiviteit bij Hugging Face, zoals gerapporteerd door Sysdig tonen aan dat AI-platforms en -agenten aanhoudende aandacht trekken van zowel onderzoekers als aanvallers.

Wat dit voor jou betekent

Als je nooit AI-modellen downloadt of codeeragenten gebruikt, is je directe blootstelling laag. Als je ontwikkelaar, hobbyist of onderzoeker bent, of een GPU-workload draait, is het risico reëel omdat deze aanvallen meeliften op normale workflows.

De praktische kwesties zijn:

  • Populariteit is geen bewijs. Een hoog downloadaantal weerhield een kwaadaardig model er niet van zich te verspreiden.
  • Ontmantelingen zijn niet permanent. De campagne keerde binnen enkele dagen terug, dus een verwijderde repository betekent niet dat de dreiging weg is.
  • Agenten erven jouw toegang. Een AI-assistent die pakketten installeert of scripts uitvoert, kan de instructies van een aanvaller uitvoeren met jouw privileges.
  • Backdoors overleven miners. Het verwijderen van een miningproces verwijdert mogelijk niet de aanvaller.

Een VPN lost niets hiervan op. Het beschermt verkeer onderweg, niet de code die je kiest uit te voeren. Bronnen controleren en rechten beperken zijn hier veel belangrijker.

Hoe je modellen, repositories en dev-tools controleert

Modellen

  • Controleer de uitgever. Geef de voorkeur aan gevestigde organisaties en verifieer dat het account het account is dat je verwacht, niet een lookalike.
  • Wees voorzichtig met elk model dat aangepaste code vereist om te laden. Lees die code voordat je opties voor externe code-uitvoering inschakelt.
  • Geef waar beschikbaar de voorkeur aan veiliger bestandsformaten, en vermijd het draaien van onbekende modellen op productie- of cloudverbonden machines.
  • Test nieuwe modellen in een geïsoleerde omgeving zonder toegang tot inloggegevens of interne netwerken.

Repositories en starterkits

  • Bevestig dat de repository bij het officiële project hoort door links te volgen vanuit de eigen documentatie van het project.
  • Bekijk de commitgeschiedenis, bijdragerprofielen en accountleeftijd. Een gloednieuwe repo met gepolijste instructies verdient wantrouwen.
  • Lees installatiescripts voordat je ze uitvoert, vooral alles wat extra bestanden downloadt en uitvoert.

AI-codeeragenten

  • Vereis menselijke goedkeuring voordat een agent pakketten installeert of shell-opdrachten uitvoert.
  • Draai agenten in een sandbox of container met minimale rechten en zonder toegang tot secrets.
  • Houd API-sleutels, walletsleutels en cloud-inloggegevens buiten het bereik van de agent.

Monitoring

  • Let op GPU-gebruik en cloudfacturering voor onverklaarde pieken.
  • Controleer actieve processen en uitgaande verbindingen op GPU-servers.
  • Als je vermoedt dat je gecompromitteerd bent, bouw dan opnieuw vanaf een schone image en roteer inloggegevens in plaats van alleen de miner te verwijderen. Het bewaren van geteste, offline kopieën van je data helpt ook, zoals besproken in ons stuk over immutable backups als laatste verdedigingslinie.

Belangrijkste punten

De Hugging Face-malwarecampagne laat zien dat AI-modelhubs en code-repositories nu deel uitmaken van het aanvalsoppervlak, en dat aanvallers zich snel aanpassen na ontmantelingen. De nep-Solana-kit voegt een nieuwe wending toe door zich te richten op de geautomatiseerde tools die ontwikkelaars steeds meer vertrouwen.

Om je risico te verkleinen: verifieer uitgevers, lees code voordat je die uitvoert, sandbox alles wat onbekend is, beperk wat je AI-agenten kunnen doen, en monitor GPU-gebruik op afwijkingen. Behandel elk gedownload model en elke starterkit als onbetrouwbaar totdat je het hebt gecontroleerd.