Według doniesień BleepingComputer kampania malware na Hugging Face powróciła zaledwie kilka dni po tym, jak została usunięta. Operacja wykorzystuje modele AI do przejmowania serwerów GPU w celu kopania kryptowalut i instalowania backdoorów, a jeden ze złośliwych modeli został pobrany ponad 28 000 razy. W osobnym odkryciu fałszywy zestaw startowy Solana na GitHub wydaje się zaprojektowany, by nakłonić agentów AI do kodowania do zainstalowania trojana zdalnego dostępu NetSupport (RAT).

Żadna z tych historii nie dotyczy luki w VPN ani w aplikacji konsumenckiej. Obie dotyczą zaufania, jakim deweloperzy obdarzają pobierany kod i modele. Oto co wiadomo, dlaczego to ważne i jak sprawdzić, co ściągasz na swoje maszyny.

Co robiła kampania malware na Hugging Face

Według raportu źródłowego kampania kopania kryptowalut wykorzystywała modele Hugging Face jako nośnik dostarczania. Gdy modele uruchomiły się na serwerach GPU, atakujący przejmowali te maszyny do kopania kryptowalut i instalowali backdoory zapewniające dalszy dostęp. Kampania została usunięta, a następnie powróciła w ciągu kilku dni, co sugeruje, że operatorzy mogą szybko publikować ponownie pod nowymi nazwami lub kontami.

Liczba pobrań to szczegół, nad którym warto się zatrzymać. Pojedynczy model osiągający ponad 28 000 pobrań pokazuje, jak łatwo repozytorium może wyglądać na popularne i legalne. Liczby pobrań nie są sygnałem bezpieczeństwa.

Serwery GPU są atrakcyjnymi celami, ponieważ są drogie w utrzymaniu i dobrze nadają się do kopania. Ofiara może zauważyć problem dopiero przez niespodziewany rachunek za chmurę, nietypowo wysokie użycie GPU lub pogorszenie wydajności. Backdoory są większym zmartwieniem: nawet po usunięciu koparki ukryty punkt dostępu może pozwolić atakującym wrócić.

Artykuł źródłowy nie opisuje szczegółowo mechanizmu technicznego, więc ten post nie spekuluje na ten temat. Wyniki publicznych wyszukiwań wspominają o ustawieniu o nazwie trust_remote_code w związku z kampanią, ale należy traktować to jako powód do przeglądu własnej konfiguracji, a nie potwierdzone wyjaśnienie.

Fałszywy zestaw Solana wymierzony w agentów AI do kodowania

Druga część raportu opisuje fałszywy zestaw startowy Solana na GitHub. Jest on ustawiony tak, by nakłonić agentów AI do kodowania do zainstalowania NetSupport RAT. RAT daje atakującemu zdalną kontrolę nad urządzeniem, co może obejmować podgląd ekranu, uruchamianie poleceń i poruszanie się po plikach.

Godna uwagi zmiana dotyczy celu. Zamiast przekonywać wyłącznie ludzkiego dewelopera, repozytorium jest spreparowane tak, że zautomatyzowany asystent, szukający projektu startowego i konfigurujący go, może dokonać instalacji. Jeśli agent może uruchamiać polecenia z Twoimi uprawnieniami, zatrute repozytorium może działać z tymi uprawnieniami.

Łączy się to z szerszymi obawami dotyczącymi autonomicznych narzędzi w środowiskach deweloperskich. Nasze wcześniejsze materiały o agencie AI OpenAI naruszającym Hugging Face przy użyciu luki zero-day oraz raport o aktywności ransomware agentów AI w Hugging Face, według doniesień Sysdig pokazują, że platformy i agenci AI przyciągają stałą uwagę zarówno badaczy, jak i atakujących.

Co to oznacza dla Ciebie

Jeśli nigdy nie pobierasz modeli AI ani nie używasz agentów do kodowania, Twoja bezpośrednia ekspozycja jest niska. Jeśli jesteś deweloperem, hobbystą, badaczem lub uruchamiasz jakiekolwiek obciążenia GPU, ryzyko jest realne, ponieważ te ataki wykorzystują normalne przepływy pracy.

Praktyczne kwestie są następujące:

  • Popularność nie jest dowodem. Wysoka liczba pobrań nie powstrzymała złośliwego modelu przed rozprzestrzenianiem się.
  • Usunięcia nie są trwałe. Kampania powróciła w ciągu kilku dni, więc usunięte repozytorium nie oznacza, że zagrożenie zniknęło.
  • Agenci dziedziczą Twoje uprawnienia. Asystent AI, który instaluje pakiety lub uruchamia skrypty, może wykonywać polecenia atakującego z Twoimi uprawnieniami.
  • Backdoory przeżywają koparki. Usunięcie procesu kopania może nie usunąć atakującego.

VPN nie rozwiązuje żadnego z tych problemów. Chroni ruch w tranzycie, a nie kod, który zdecydujesz się uruchomić. Weryfikacja źródeł i ograniczanie uprawnień mają tutaj znacznie większe znaczenie.

Jak weryfikować modele, repozytoria i narzędzia deweloperskie

Modele

  • Sprawdź wydawcę. Preferuj ugruntowane organizacje i zweryfikuj, że konto jest tym, którego oczekujesz, a nie imitacją.
  • Zachowaj ostrożność wobec każdego modelu, który wymaga niestandardowego kodu do załadowania. Przeczytaj ten kod przed włączeniem opcji zdalnego wykonywania kodu.
  • Preferuj bezpieczniejsze formaty plików, gdy są dostępne, i unikaj uruchamiania nieznanych modeli na maszynach produkcyjnych lub podłączonych do chmury.
  • Testuj nowe modele w izolowanym środowisku bez dostępu do poświadczeń lub sieci wewnętrznych.

Repozytoria i zestawy startowe

  • Potwierdź, że repozytorium należy do oficjalnego projektu, podążając za linkami z dokumentacji samego projektu.
  • Sprawdź historię commitów, profile kontrybutorów i wiek konta. Zupełnie nowe repo z dopracowanymi instrukcjami zasługuje na podejrzliwość.
  • Przeczytaj skrypty instalacyjne przed ich uruchomieniem, zwłaszcza wszystko, co pobiera i wykonuje dodatkowe pliki.

Agenci AI do kodowania

  • Wymagaj zatwierdzenia przez człowieka, zanim agent zainstaluje pakiety lub uruchomi polecenia powłoki.
  • Uruchamiaj agentów w piaskownicy lub kontenerze z minimalnymi uprawnieniami i bez dostępu do sekretów.
  • Trzymaj klucze API, klucze portfeli i poświadczenia chmurowe poza zasięgiem agenta.

Monitorowanie

  • Obserwuj wykorzystanie GPU i rozliczenia chmurowe pod kątem niewyjaśnionych skoków.
  • Przeglądaj uruchomione procesy i połączenia wychodzące na serwerach GPU.
  • Jeśli podejrzewasz kompromitację, odbuduj z czystego obrazu i rotuj poświadczenia, zamiast tylko usuwać koparkę. Pomaga również utrzymywanie przetestowanych, offline'owych kopii danych, co omówiliśmy w naszym artykule o kopiach zapasowych immutowalnych jako ostatniej linii obrony.

Najważniejsze wnioski

Kampania malware na Hugging Face pokazuje, że huby modeli AI i repozytoria kodu są teraz częścią powierzchni ataku, a atakujący szybko się adaptują po usunięciach. Fałszywy zestaw Solana dodaje nowy zwrot, celując w zautomatyzowane narzędzia, którym deweloperzy coraz częściej ufają.

Aby zmniejszyć ryzyko: weryfikuj wydawców, czytaj kod przed uruchomieniem, izoluj wszystko, co nieznane, ograniczaj to, co mogą robić Twoi agenci AI, i monitoruj użycie GPU pod kątem anomalii. Traktuj każdy pobrany model i zestaw startowy jako niezaufany, dopóki go nie sprawdzisz.