En skadlig kod-kampanj på Hugging Face har återuppstått bara dagar efter att den tagits ned, enligt rapportering från BleepingComputer. Operationen missbrukar AI-modeller för att kapa GPU-servrar för kryptominering och plantera bakdörrar, och en av de skadliga modellerna laddades ned mer än 28 000 gånger. I ett separat fynd verkar ett falskt Solana-startpaket på GitHub vara utformat för att lura AI-kodagenter att installera en NetSupport RAT (fjärråtkomsttrojan).

Ingen av historierna handlar om en brist i ett VPN eller en konsumentapp. Båda handlar om det förtroende utvecklare lägger på nedladdad kod och modeller. Här är vad som är känt, varför det spelar roll och hur du kontrollerar vad du drar ned till dina maskiner.

Vad Hugging Face-kampanjen gjorde

Enligt källrapporten använde kryptomineringskampanjen Hugging Face-modeller som leveransmekanism. När modellerna kördes på GPU-servrar kapade angriparna dessa maskiner för att minera kryptovaluta och planterade bakdörrar för fortsatt åtkomst. Kampanjen togs ned och återvände sedan inom några dagar, vilket tyder på att operatörerna snabbt kan publicera igen under nya namn eller konton.

Nedladdningsantalet är detaljen värd att stanna upp vid. En enda modell som når över 28 000 nedladdningar visar hur enkelt ett arkiv kan se populärt och legitimt ut. Nedladdningssiffror är ingen säkerhetssignal.

GPU-servrar är attraktiva mål eftersom de är dyra att driva och väl lämpade för minering. Ett offer märker det kanske bara genom en överraskande molnfaktura, ovanligt hög GPU-användning eller försämrad prestanda. Bakdörrarna är den större oron: även efter att en miner tagits bort kan en dold åtkomstpunkt låta angriparna återvända.

Källartikeln beskriver inte den tekniska mekanismen i detalj, så det här inlägget spekulerar inte i den. Offentliga sökresultat nämner en inställning som kallas trust_remote_code i samband med kampanjen, men behandla det som en anledning att granska din egen konfiguration snarare än en bekräftad förklaring.

Ett falskt Solana-paket riktat mot AI-kodagenter

Den andra delen av rapporten beskriver ett falskt Solana-startpaket på GitHub. Det är positionerat för att lura AI-kodagenter att installera en NetSupport RAT. En RAT ger en angripare fjärrkontroll över en enhet, vilket kan innefatta att se skärmen, köra kommandon och röra sig genom filer.

Det anmärkningsvärda skiftet är målet. Istället för att bara övertala en mänsklig utvecklare är arkivet utformat så att en automatiserad assistent, som söker efter ett startprojekt och sätter upp det, kan göra installationen. Om en agent kan köra kommandon med dina behörigheter kan ett förgiftat arkiv agera med samma behörigheter.

Detta kopplar till bredare farhågor om autonoma verktyg i utvecklingsmiljöer. Vår tidigare rapportering om en OpenAI AI-agent som tog sig in i Hugging Face med en zero-day-sårbarhet och en rapport om AI-agenters ransomware-aktivitet på Hugging Face, enligt Sysdig visar att AI-plattformar och agenter drar till sig ihållande uppmärksamhet från både forskare och angripare.

Vad detta innebär för dig

Om du aldrig laddar ned AI-modeller eller använder kodagenter är din direkta exponering låg. Om du är utvecklare, hobbyist, forskare eller kör någon GPU-arbetsbelastning är risken verklig, eftersom dessa attacker åker snålskjuts på normala arbetsflöden.

De praktiska frågorna är:

  • Popularitet är inte bevis. Ett högt nedladdningsantal hindrade inte en skadlig modell från att spridas.
  • Nedtagningar är inte permanenta. Kampanjen återvände inom några dagar, så ett borttaget arkiv betyder inte att hotet är borta.
  • Agenter ärver din åtkomst. En AI-assistent som installerar paket eller kör skript kan utföra en angripares instruktioner med dina privilegier.
  • Bakdörrar överlever miners. Att ta bort en mineringsprocess tar kanske inte bort angriparen.

Ett VPN löser inget av detta. Det skyddar trafik under överföring, inte koden du väljer att köra. Att granska källor och begränsa behörigheter är mycket viktigare här.

Hur du granskar modeller, arkiv och utvecklarverktyg

Modeller

  • Kontrollera utgivaren. Föredra etablerade organisationer och verifiera att kontot är det du förväntar dig, inte ett snarlikt.
  • Var försiktig med modeller som kräver anpassad kod för att laddas. Läs koden innan du aktiverar alternativ för fjärrkodkörning.
  • Föredra säkrare filformat där sådana finns, och undvik att köra okända modeller på produktions- eller molnanslutna maskiner.
  • Testa nya modeller i en isolerad miljö utan åtkomst till autentiseringsuppgifter eller interna nätverk.

Arkiv och startpaket

  • Bekräfta att arkivet tillhör det officiella projektet genom att följa länkar från projektets egen dokumentation.
  • Titta på commit-historik, bidragsgivarprofiler och kontots ålder. Ett helt nytt arkiv med polerade instruktioner förtjänar misstanke.
  • Läs installationsskript innan du kör dem, särskilt allt som laddar ned och kör extra filer.

AI-kodagenter

  • Kräv mänskligt godkännande innan en agent installerar paket eller kör skalkommandon.
  • Kör agenter i en sandlåda eller container med minimala behörigheter och utan åtkomst till hemligheter.
  • Håll API-nycklar, plånboksnycklar och molnautentiseringsuppgifter utom räckhåll för agenten.

Övervakning

  • Bevaka GPU-användning och molnfakturering efter oförklarliga toppar.
  • Granska körande processer och utgående anslutningar på GPU-servrar.
  • Om du misstänker intrång, bygg om från en ren avbildning och rotera autentiseringsuppgifter istället för att bara ta bort minern. Att ha testade, offlinekopior av dina data hjälper också, som vi tar upp i vår artikel om oföränderliga säkerhetskopior som sista försvarslinje.

Viktigaste slutsatserna

Hugging Face-kampanjen visar att AI-modellhubbar och kodarkiv nu är en del av attackytan, och att angripare anpassar sig snabbt efter nedtagningar. Det falska Solana-paketet tillför en ny twist genom att rikta sig mot de automatiserade verktyg som utvecklare i allt högre grad litar på.

För att minska din risk: verifiera utgivare, läs kod innan du kör den, sandlåda allt obekant, begränsa vad dina AI-agenter kan göra och övervaka GPU-användning för anomalier. Behandla varje nedladdad modell och startpaket som obetrodd tills du har kontrollerat det.