Кампания по распространению вредоносного ПО через Hugging Face вновь появилась всего через несколько дней после того, как была удалена, согласно сообщению BleepingComputer. Операция злоупотребляет AI-моделями для захвата GPU-серверов с целью майнинга криптовалюты и внедрения бэкдоров, и одна из вредоносных моделей была загружена более 28 000 раз. В отдельной находке фальшивый стартовый набор Solana на GitHub, по-видимому, разработан, чтобы обманом заставить AI-агентов программирования установить троян удалённого доступа (RAT) NetSupport.

Ни одна из этих историй не связана с уязвимостью в VPN или потребительском приложении. Обе касаются доверия, которое разработчики питают к загружаемому коду и моделям. Вот что известно, почему это важно и как проверить то, что вы загружаете на свои машины.

Что сделала кампания вредоносного ПО Hugging Face

Согласно исходному отчёту, кампания по майнингу криптовалюты использовала модели Hugging Face в качестве средства доставки. Как только модели запускались на GPU-серверах, злоумышленники захватывали эти машины для майнинга криптовалюты и внедряли бэкдоры для сохранения доступа. Кампания была удалена, а затем вернулась в течение нескольких дней, что говорит о том, что операторы могут быстро перепубликовать материалы под новыми именами или аккаунтами.

Счётчик загрузок — это деталь, на которой стоит задержаться. Одна модель, достигшая более 28 000 загрузок, показывает, насколько легко репозиторий может выглядеть популярным и легитимным. Числа загрузок не являются сигналом безопасности.

GPU-серверы являются привлекательными целями, поскольку они дороги в эксплуатации и хорошо подходят для майнинга. Жертва может заметить это только по неожиданному счёту за облачные услуги, необычно высокой загрузке GPU или снижению производительности. Бэкдоры — более серьёзная проблема: даже после удаления майнера скрытая точка доступа может позволить злоумышленникам вернуться.

Исходная статья не раскрывает технический механизм, поэтому этот пост не строит предположений о нём. Результаты публичного поиска упоминают настройку под названием trust_remote_code в связи с кампанией, но относитесь к этому как к причине проверить собственную конфигурацию, а не как к подтверждённому объяснению.

Фальшивый набор Solana, нацеленный на AI-агентов программирования

Вторая часть отчёта описывает фальшивый стартовый набор Solana на GitHub. Он позиционируется так, чтобы обманом заставить AI-агентов программирования установить NetSupport RAT. RAT даёт злоумышленнику удалённый контроль над устройством, что может включать просмотр экрана, выполнение команд и перемещение по файлам.

Примечательным сдвигом является цель. Вместо того чтобы только убедить человека-разработчика, репозиторий создан так, что автоматизированный помощник, ищущий стартовый проект и настраивающий его, может выполнить установку. Если агент может выполнять команды с вашими разрешениями, отравленный репозиторий может действовать с этими разрешениями тоже.

Это связано с более широкими опасениями по поводу автономных инструментов в средах разработки. Наши предыдущие материалы об AI-агенте OpenAI, взломавшем Hugging Face с использованием уязвимости нулевого дня и отчёт об активности ransomware AI-агентов в Hugging Face, о котором сообщает Sysdig показывают, что AI-платформы и агенты привлекают устойчивое внимание как исследователей, так и злоумышленников.

Что это значит для вас

Если вы никогда не загружаете AI-модели и не используете агентов программирования, ваша прямая подверженность риску низкая. Если вы разработчик, энтузиаст, исследователь или запускаете любые GPU-рабочие нагрузки, риск реален, поскольку эти атаки используют нормальные рабочие процессы.

Практические проблемы таковы:

  • Популярность не является доказательством. Высокий счётчик загрузок не помешал распространению вредоносной модели.
  • Удаление не является постоянным. Кампания вернулась в течение нескольких дней, поэтому удалённый репозиторий не означает, что угроза исчезла.
  • Агенты наследуют ваш доступ. AI-помощник, который устанавливает пакеты или запускает скрипты, может выполнять инструкции злоумышленника с вашими привилегиями.
  • Бэкдоры переживают майнеров. Удаление процесса майнинга может не удалить злоумышленника.

VPN не решает ничего из этого. Он защищает трафик при передаче, а не код, который вы решаете запустить. Проверка источников и ограничение разрешений здесь гораздо важнее.

Как проверять модели, репозитории и инструменты разработки

Модели

  • Проверьте издателя. Предпочитайте устоявшиеся организации и убедитесь, что аккаунт — тот, который вы ожидаете, а не похожий.
  • Будьте осторожны с любой моделью, которая требует пользовательского кода для загрузки. Прочитайте этот код перед включением опций удалённого выполнения кода.
  • Предпочитайте более безопасные форматы файлов, где они доступны, и избегайте запуска неизвестных моделей на производственных или подключённых к облаку машинах.
  • Тестируйте новые модели в изолированной среде без доступа к учётным данным или внутренним сетям.

Репозитории и стартовые наборы

  • Убедитесь, что репозиторий принадлежит официальному проекту, перейдя по ссылкам из собственной документации проекта.
  • Посмотрите историю коммитов, профили участников и возраст аккаунта. Совершенно новый репозиторий с отполированными инструкциями заслуживает подозрения.
  • Читайте скрипты установки перед их запуском, особенно всё, что загружает и выполняет дополнительные файлы.

AI-агенты программирования

  • Требуйте одобрения человеком перед тем, как агент устанавливает пакеты или запускает команды оболочки.
  • Запускайте агентов в песочнице или контейнере с минимальными разрешениями и без доступа к секретам.
  • Держите API-ключи, ключи кошельков и облачные учётные данные вне досягаемости агента.

Мониторинг

  • Следите за использованием GPU и выставлением счетов за облачные услуги на предмет необъяснимых скачков.
  • Просматривайте запущенные процессы и исходящие соединения на GPU-серверах.
  • Если вы подозреваете компрометацию, пересоберите систему из чистого образа и смените учётные данные, а не просто удаляйте майнер. Также помогает хранение проверенных офлайн-копий ваших данных, как описано в нашем материале о неизменяемых резервных копиях как последней линии защиты.

Ключевые выводы

Кампания вредоносного ПО Hugging Face показывает, что хабы AI-моделей и репозитории кода теперь являются частью поверхности атаки, и что злоумышленники быстро адаптируются после удалений. Фальшивый набор Solana добавляет новый поворот, нацеливаясь на автоматизированные инструменты, которым разработчики всё больше доверяют.

Чтобы снизить риск: проверяйте издателей, читайте код перед его запуском, помещайте всё незнакомое в песочницу, ограничивайте то, что могут делать ваши AI-агенты, и следите за использованием GPU на предмет аномалий. Относитесь к каждой загруженной модели и стартовому набору как к недоверенным, пока вы их не проверили.