Hugging Face遭惡意模型濫用，31個儲存庫散布挖礦程式與後門

資安公司Pluto Security揭露名為Load/Mine的惡意軟體活動，攻擊者利用AI模型分享平臺Hugging Face散布偽裝成Qwen2測試模型的惡意程式。研究人員追蹤到分布於7個Hugging Face帳號的31個惡意模型儲存庫，另有13個相關模型，累計下載次數達32,376次。這波攻擊的關鍵，在於駭客濫用Hugging Face Transformers提供的trust_remote_code=True設定。部分AI模型需要執行儲存庫內的自訂Python程式碼才能載入，使用者啟用這項設定後，Transformers便會匯入並執行模型提供者的程式碼，而且執行時具有呼叫端的權限。攻擊者因此能將惡意指令藏在模型定義檔，在模型權重載入前就執行，不必竄改模型權重，也不需要利用序列化格式的漏洞。

值得注意的是，Pluto Security通報後，Hugging Face與ModelScope移除了第一波相關帳號，但攻擊者數日內便以新帳號重新部署第二波活動，新增19個惡意儲存庫。第二波除了保留挖礦功能，也將部分原本植入的SSH金鑰改為反向Shell，並新增容器逃逸程式，試圖從具備高權限的容器環境取得主機層級的存取權限。

這波攻擊主要鎖定自架AI推論環境，尤其是使用Xinference及GPUStack的GPU主機，也包括租用GPU運算資源、共享研究筆記本與CI工作環境。研究人員追蹤到第一波挖礦錢包已收到約2,276個PRL加密貨幣，當時價值約5,000美元，並觀察到多個使用A100 GPU的研究筆記本工作程序連線至挖礦礦池，顯示攻擊者可能已實際獲利。