Кампанія зловмисного ПО на Hugging Face відновилася лише через кілька днів після того, як її було зупинено, згідно з повідомленням BleepingComputer. Операція зловживає AI-моделями, щоб захоплювати GPU-сервери для майнінгу криптовалют і встановлювати бекдори, і одна зі шкідливих моделей була завантажена понад 28 000 разів. В окремій знахідці фальшивий стартовий набір Solana на GitHub, схоже, створений, щоб обманом змусити AI-агентів для програмування встановити троян віддаленого доступу (RAT) NetSupport.

Жодна з цих історій не стосується вразливості у VPN чи споживчому застосунку. Обидві стосуються довіри, яку розробники покладають на завантажений код і моделі. Ось що відомо, чому це важливо і як перевірити те, що ви завантажуєте на свої машини.

Що робила кампанія зловмисного ПО на Hugging Face

Згідно з вихідним звітом, кампанія з майнінгу криптовалют використовувала моделі Hugging Face як засіб доставки. Щойно моделі запускалися на GPU-серверах, зловмисники захоплювали ці машини для майнінгу криптовалюти та встановлювали бекдори для подальшого доступу. Кампанію було зупинено, але вона повернулася протягом кількох днів, що свідчить про те, що оператори можуть швидко повторно публікувати під новими назвами або обліковими записами.

Кількість завантажень — це деталь, на якій варто зупинитися. Одна модель, що досягла понад 28 000 завантажень, показує, наскільки легко репозиторій може виглядати популярним і легітимним. Кількість завантажень не є сигналом безпеки.

GPU-сервери є привабливими цілями, оскільки вони дорогі в експлуатації та добре підходять для майнінгу. Жертва може помітити це лише через несподіваний рахунок за хмару, надзвичайно високе використання GPU або погіршення продуктивності. Бекдори є більшою проблемою: навіть після видалення майнера прихована точка доступу може дозволити зловмисникам повернутися.

У вихідній статті не деталізується технічний механізм, тому цей пост не робить припущень щодо нього. У результатах публічного пошуку згадується налаштування під назвою trust_remote_code у зв'язку з кампанією, але ставтеся до цього як до причини переглянути власну конфігурацію, а не як до підтвердженого пояснення.

Фальшивий набір Solana, націлений на AI-агентів для програмування

Друга частина звіту описує фальшивий стартовий набір Solana на GitHub. Він позиціонується так, щоб обманом змусити AI-агентів для програмування встановити NetSupport RAT. RAT дає зловмиснику віддалений контроль над пристроєм, що може включати перегляд екрана, виконання команд і переміщення файлами.

Помітна зміна — це ціль. Замість того, щоб лише переконувати людину-розробника, репозиторій створений так, що автоматизований асистент, який шукає стартовий проєкт і налаштовує його, може виконати встановлення. Якщо агент може виконувати команди з вашими дозволами, отруєний репозиторій також може діяти з цими дозволами.

Це пов'язано з ширшими занепокоєннями щодо автономних інструментів у середовищах розробки. Наше попереднє висвітлення AI-агента OpenAI, який зламав Hugging Face через zero-day вразливість та звіт про активність ransomware AI-агентів на Hugging Face, про яку повідомляє Sysdig показують, що AI-платформи та агенти привертають постійну увагу як дослідників, так і зловмисників.

Що це означає для вас

Якщо ви ніколи не завантажуєте AI-моделі та не використовуєте агентів для програмування, ваша пряма схильність до ризику низька. Якщо ви розробник, ентузіаст, дослідник або запускаєте будь-яке GPU-навантаження, ризик реальний, оскільки ці атаки використовують звичайні робочі процеси.

Практичні проблеми такі:

  • Популярність не є доказом. Висока кількість завантажень не завадила поширенню шкідливої моделі.
  • Видалення не є остаточним. Кампанія повернулася протягом кількох днів, тому видалений репозиторій не означає, що загроза зникла.
  • Агенти успадковують ваш доступ. AI-асистент, який встановлює пакети або запускає скрипти, може виконувати інструкції зловмисника з вашими привілеями.
  • Бекдори переживають майнерів. Видалення процесу майнінгу може не видалити зловмисника.

VPN не вирішує жодної з цих проблем. Він захищає трафік під час передавання, а не код, який ви вирішуєте запускати. Перевірка джерел і обмеження дозволів тут набагато важливіші.

Як перевіряти моделі, репозиторії та інструменти розробки

Моделі

  • Перевірте видавця. Надавайте перевагу відомим організаціям і переконайтеся, що обліковий запис саме той, який ви очікуєте, а не схожий на нього.
  • Будьте обережні з будь-якою моделлю, яка потребує спеціального коду для завантаження. Прочитайте цей код перед увімкненням параметрів віддаленого виконання коду.
  • Надавайте перевагу безпечнішим форматам файлів, де це можливо, і уникайте запуску невідомих моделей на робочих або підключених до хмари машинах.
  • Тестуйте нові моделі в ізольованому середовищі без доступу до облікових даних чи внутрішніх мереж.

Репозиторії та стартові набори

  • Переконайтеся, що репозиторій належить офіційному проєкту, перейшовши за посиланнями з власної документації проєкту.
  • Перегляньте історію комітів, профілі учасників і вік облікового запису. Цілком новий репозиторій із відшліфованими інструкціями заслуговує на підозру.
  • Прочитайте скрипти встановлення перед їх запуском, особливо все, що завантажує та виконує додаткові файли.

AI-агенти для програмування

  • Вимагайте схвалення людини перед тим, як агент встановлює пакети або запускає команди оболонки.
  • Запускайте агентів у пісочниці або контейнері з мінімальними дозволами та без доступу до секретів.
  • Тримайте API-ключі, ключі гаманців і хмарні облікові дані поза межами досяжності агента.

Моніторинг

  • Слідкуйте за використанням GPU та хмарними рахунками щодо непояснених стрибків.
  • Переглядайте запущені процеси та вихідні з'єднання на GPU-серверах.
  • Якщо ви підозрюєте компрометацію, перебудуйте з чистого образу та змініть облікові дані, а не лише видаляйте майнер. Збереження перевірених офлайн-копій ваших даних також допомагає, як описано в нашій статті про незмінні резервні копії як останню лінію захисту.

Ключові висновки

Кампанія зловмисного ПО на Hugging Face показує, що хаби AI-моделей і репозиторії коду тепер є частиною поверхні атаки, і що зловмисники швидко адаптуються після видалень. Фальшивий набір Solana додає новий поворот, націлюючись на автоматизовані інструменти, яким розробники дедалі більше довіряють.

Щоб зменшити ризик: перевіряйте видавців, читайте код перед запуском, ізолюйте все незнайоме в пісочниці, обмежуйте те, що можуть робити ваші AI-агенти, і слідкуйте за аномаліями у використанні GPU. Ставтеся до кожної завантаженої моделі та стартового набору як до ненадійних, доки не перевірите їх.