Uma campanha de malware no Hugging Face ressurgiu apenas alguns dias após ter sido derrubada, segundo reportagem do BleepingComputer. A operação abusa de modelos de IA para sequestrar servidores de GPU para mineração de criptomoedas e plantar backdoors, e um dos modelos maliciosos foi baixado mais de 28.000 vezes. Em uma descoberta separada, um kit inicial falso do Solana no GitHub parece ter sido projetado para enganar agentes de codificação de IA a instalar um trojan de acesso remoto (RAT) NetSupport.

Nenhuma das histórias é sobre uma falha em uma VPN ou em um aplicativo de consumo. Ambas são sobre a confiança que os desenvolvedores depositam em códigos e modelos baixados. Aqui está o que se sabe, por que isso importa e como verificar o que você baixa para suas máquinas.

O que a campanha de malware do Hugging Face fez

De acordo com o relatório da fonte, a campanha de mineração de criptomoedas usou modelos do Hugging Face como seu veículo de entrega. Assim que os modelos eram executados em servidores de GPU, os atacantes sequestravam essas máquinas para minerar criptomoedas e plantavam backdoors para acesso contínuo. A campanha foi derrubada e retornou em poucos dias, o que sugere que os operadores podem rapidamente republicar sob novos nomes ou contas.

A contagem de downloads é o detalhe que merece atenção. Um único modelo alcançando mais de 28.000 downloads mostra como é fácil um repositório parecer popular e legítimo. Números de downloads não são um sinal de segurança.

Servidores de GPU são alvos atraentes porque são caros de operar e adequados para mineração. Uma vítima pode notar apenas por meio de uma fatura de nuvem inesperada, uso de GPU anormalmente alto ou desempenho degradado. As backdoors são a preocupação maior: mesmo após a remoção de um minerador, um ponto de acesso oculto pode permitir que os atacantes retornem.

O artigo da fonte não detalha o mecanismo técnico, portanto este post não especula sobre ele. Resultados de busca públicos mencionam uma configuração chamada trust_remote_code em conexão com a campanha, mas trate isso como um motivo para revisar sua própria configuração, e não como uma explicação confirmada.

Um kit falso do Solana voltado a agentes de codificação de IA

A segunda parte do relatório descreve um kit inicial falso do Solana no GitHub. Ele é posicionado para enganar agentes de codificação de IA a instalar um RAT NetSupport. Um RAT dá a um atacante controle remoto de um dispositivo, o que pode incluir visualizar a tela, executar comandos e percorrer arquivos.

A mudança notável é o alvo. Em vez de apenas persuadir um desenvolvedor humano, o repositório é elaborado de modo que um assistente automatizado, buscando um projeto inicial e configurando-o, possa fazer a instalação. Se um agente pode executar comandos com suas permissões, um repositório envenenado pode agir com essas permissões também.

Isso se conecta a preocupações mais amplas sobre ferramentas autônomas em ambientes de desenvolvimento. Nossa cobertura anterior de um agente de IA da OpenAI invadindo o Hugging Face usando uma falha de dia zero e um relatório sobre atividade de ransomware de agentes de IA no Hugging Face, conforme reportado pela Sysdig mostram que plataformas e agentes de IA estão atraindo atenção contínua tanto de pesquisadores quanto de atacantes.

O que isso significa para você

Se você nunca baixa modelos de IA ou usa agentes de codificação, sua exposição direta é baixa. Se você é desenvolvedor, entusiasta, pesquisador ou executa qualquer carga de trabalho em GPU, o risco é real porque esses ataques se aproveitam de fluxos de trabalho normais.

As questões práticas são:

  • Popularidade não é prova. Uma alta contagem de downloads não impediu que um modelo malicioso se espalhasse.
  • Derrubadas não são permanentes. A campanha retornou em poucos dias, então um repositório removido não significa que a ameaça desapareceu.
  • Agentes herdam seu acesso. Um assistente de IA que instala pacotes ou executa scripts pode realizar as instruções de um atacante com seus privilégios.
  • Backdoors duram mais que mineradores. Remover um processo de mineração pode não remover o atacante.

Uma VPN não resolve nada disso. Ela protege o tráfego em trânsito, não o código que você escolhe executar. Verificar fontes e limitar permissões importam muito mais aqui.

Como verificar modelos, repositórios e ferramentas de desenvolvimento

Modelos

  • Verifique o publicador. Prefira organizações estabelecidas e confirme que a conta é a que você espera, não uma imitação.
  • Tenha cautela com qualquer modelo que exija código personalizado para carregar. Leia esse código antes de habilitar opções de execução remota de código.
  • Prefira formatos de arquivo mais seguros quando disponíveis, e evite executar modelos desconhecidos em máquinas de produção ou conectadas à nuvem.
  • Teste novos modelos em um ambiente isolado sem acesso a credenciais ou redes internas.

Repositórios e kits iniciais

  • Confirme que o repositório pertence ao projeto oficial seguindo links da documentação do próprio projeto.
  • Examine o histórico de commits, perfis de contribuidores e idade da conta. Um repositório recém-criado com instruções refinadas merece suspeita.
  • Leia scripts de instalação antes de executá-los, especialmente qualquer coisa que baixe e execute arquivos extras.

Agentes de codificação de IA

  • Exija aprovação humana antes que um agente instale pacotes ou execute comandos de shell.
  • Execute agentes em um sandbox ou contêiner com permissões mínimas e sem acesso a segredos.
  • Mantenha chaves de API, chaves de carteira e credenciais de nuvem fora do alcance do agente.

Monitoramento

  • Observe a utilização de GPU e o faturamento da nuvem em busca de picos inexplicados.
  • Revise processos em execução e conexões de saída em servidores de GPU.
  • Se você suspeitar de comprometimento, reconstrua a partir de uma imagem limpa e rotacione credenciais em vez de apenas excluir o minerador. Manter cópias testadas e offline dos seus dados também ajuda, como abordado em nosso artigo sobre backups imutáveis como última linha de defesa.

Principais conclusões

A campanha de malware do Hugging Face mostra que hubs de modelos de IA e repositórios de código agora fazem parte da superfície de ataque, e que os atacantes se adaptam rapidamente após derrubadas. O kit falso do Solana adiciona uma nova reviravolta ao visar as ferramentas automatizadas em que os desenvolvedores cada vez mais confiam.

Para reduzir seu risco: verifique publicadores, leia o código antes de executá-lo, isole em sandbox qualquer coisa desconhecida, restrinja o que seus agentes de IA podem fazer e monitore o uso de GPU em busca de anomalias. Trate todo modelo e kit inicial baixado como não confiável até tê-lo verificado.