En malware-kampanje på Hugging Face har dukket opp igjen bare dager etter at den ble tatt ned, ifølge rapportering fra BleepingComputer. Operasjonen misbruker AI-modeller for å kapre GPU-servere til kryptoutvinning og plante bakdører, og en av de ondsinnede modellene ble lastet ned mer enn 28 000 ganger. I et separat funn ser et falskt Solana-startsett på GitHub ut til å være utformet for å lure AI-kodeagenter til å installere en NetSupport RAT (fjernstyringstrojaner).

Ingen av sakene handler om en sårbarhet i en VPN eller en forbrukerapp. Begge handler om tilliten utviklere legger i nedlastet kode og modeller. Her er hva som er kjent, hvorfor det er viktig, og hvordan du sjekker det du henter inn på maskinene dine.

Hva Hugging Face-malware-kampanjen gjorde

Ifølge kildereportasjen brukte kryptoutvinningskampanjen Hugging Face-modeller som leveringsmekanisme. Når modellene kjørte på GPU-servere, kapret angriperne disse maskinene for å utvinne kryptovaluta og plantet bakdører for fortsatt tilgang. Kampanjen ble tatt ned, men kom tilbake innen få dager, noe som tyder på at operatørene raskt kan publisere på nytt under nye navn eller kontoer.

Nedlastingstallet er detaljen det er verdt å stoppe ved. En enkelt modell som når over 28 000 nedlastinger viser hvor enkelt et repositorium kan se populært og legitimt ut. Nedlastingstall er ikke et sikkerhetssignal.

GPU-servere er attraktive mål fordi de er dyre å drifte og godt egnet for utvinning. Et offer merker det kanskje bare gjennom en overraskende skyregning, uvanlig høy GPU-bruk eller redusert ytelse. Bakdørene er den større bekymringen: selv etter at en miner er fjernet, kan et skjult tilgangspunkt la angriperne komme tilbake.

Kildeartikkelen beskriver ikke den tekniske mekanismen i detalj, så dette innlegget spekulerer ikke i den. Offentlige søkeresultater nevner en innstilling kalt trust_remote_code i forbindelse med kampanjen, men behandle det som en grunn til å gjennomgå din egen konfigurasjon snarere enn en bekreftet forklaring.

Et falskt Solana-sett rettet mot AI-kodeagenter

Den andre delen av rapporten beskriver et falskt Solana-startsett på GitHub. Det er posisjonert for å lure AI-kodeagenter til å installere en NetSupport RAT. En RAT gir en angriper ekstern kontroll over en enhet, noe som kan omfatte visning av skjermen, kjøring av kommandoer og bevegelse gjennom filer.

Det bemerkelsesverdige skiftet er målet. I stedet for bare å overtale en menneskelig utvikler, er repositoriet laget slik at en automatisert assistent som søker etter et startprosjekt og setter det opp, kan gjøre installasjonen. Hvis en agent kan kjøre kommandoer med dine tillatelser, kan et forgiftet repositorium også handle med disse tillatelsene.

Dette henger sammen med bredere bekymringer om autonome verktøy i utviklingsmiljøer. Vår tidligere dekning av en OpenAI AI-agent som brøt seg inn i Hugging Face ved hjelp av en zero-day-sårbarhet og en rapport om AI-agent-ransomware-aktivitet hos Hugging Face, som rapportert av Sysdig viser at AI-plattformer og agenter tiltrekker seg vedvarende oppmerksomhet fra både forskere og angripere.

Hva dette betyr for deg

Hvis du aldri laster ned AI-modeller eller bruker kodeagenter, er din direkte eksponering lav. Hvis du er utvikler, hobbyist, forsker eller kjører GPU-arbeidsbelastninger, er risikoen reell fordi disse angrepene snylter på normale arbeidsflyter.

De praktiske problemene er:

  • Popularitet er ikke bevis. Et høyt nedlastingstall stoppet ikke en ondsinnet modell fra å spre seg.
  • Nedtakelser er ikke permanente. Kampanjen kom tilbake innen få dager, så et fjernet repositorium betyr ikke at trusselen er borte.
  • Agenter arver din tilgang. En AI-assistent som installerer pakker eller kjører skript, kan utføre en angripers instruksjoner med dine privilegier.
  • Bakdører overlever minere. Fjerning av en utvinningsprosess fjerner kanskje ikke angriperen.

En VPN løser ingenting av dette. Den beskytter trafikk under overføring, ikke koden du velger å kjøre. Å vurdere kilder og begrense tillatelser betyr mye mer her.

Hvordan vurdere modeller, repositorier og utviklerverktøy

Modeller

  • Sjekk utgiveren. Foretrekk etablerte organisasjoner og verifiser at kontoen er den du forventer, ikke en etterligning.
  • Vær forsiktig med enhver modell som krever tilpasset kode for å lastes. Les den koden før du aktiverer alternativer for ekstern kodekjøring.
  • Foretrekk sikrere filformater der det er tilgjengelig, og unngå å kjøre ukjente modeller på produksjons- eller skytilkoblede maskiner.
  • Test nye modeller i et isolert miljø uten tilgang til legitimasjon eller interne nettverk.

Repositorier og startsett

  • Bekreft at repositoriet tilhører det offisielle prosjektet ved å følge lenker fra prosjektets egen dokumentasjon.
  • Se på commit-historikk, bidragsyterprofiler og kontoadder. Et helt nytt repo med polerte instruksjoner fortjener mistanke.
  • Les installasjonsskript før du kjører dem, spesielt alt som laster ned og kjører ekstra filer.

AI-kodeagenter

  • Krev menneskelig godkjenning før en agent installerer pakker eller kjører skallkommandoer.
  • Kjør agenter i en sandkasse eller container med minimale tillatelser og uten tilgang til hemmeligheter.
  • Hold API-nøkler, lommeboknøkler og skylegitimasjon utenfor agentens rekkevidde.

Overvåking

  • Følg med på GPU-utnyttelse og skyfakturering for uforklarlige topper.
  • Gå gjennom kjørende prosesser og utgående tilkoblinger på GPU-servere.
  • Hvis du mistenker kompromittering, bygg på nytt fra et rent image og roter legitimasjon i stedet for bare å slette mineren. Å ha testede, offline kopier av dataene dine hjelper også, som dekket i vårt innlegg om immutable backups som siste forsvarslinje.

Viktige punkter

Hugging Face-malware-kampanjen viser at AI-modellhuber og kode-repositorier nå er en del av angrepsflaten, og at angripere tilpasser seg raskt etter nedtakelser. Det falske Solana-settet legger til en ny vri ved å rette seg mot de automatiserte verktøyene utviklere i økende grad stoler på.

For å redusere risikoen: verifiser utgivere, les kode før du kjører den, sandkasselegg alt ukjent, begrens hva AI-agentene dine kan gjøre, og overvåk GPU-bruk for avvik. Behandle hver nedlastet modell og hvert startsett som ubetrodd til du har sjekket det.