Вредоносные ИИ-модели на Hugging Face скачали более 32 тысяч раз, а самая популярная набрала свыше 28 тысяч загрузок. Вместо нейросетей пользователи получали скрытые майнеры и бэкдоры. Даже после удаления опасных репозиториев злоумышленники быстро вернулись на платформу.
Специалисты Pluto Security обнаружили 31 вредоносный репозиторий, размещённый через семь учётных записей Hugging Face. Кампания началась в сентябре 2026 года и прошла в две волны. Злоумышленники выдавали свои разработки за небольшие тестовые модели Qwen2 и рассчитывали на владельцев серверов с видеокартами, которые запускают нейросети через Xinference и GPUStack.
Для заражения использовали параметр trust_remote_code, позволяющий выполнять Python-код, поставляемый вместе с моделью. Если пользователь разрешал такую функцию, вредоносная программа запускалась ещё до загрузки самой нейросети. Никаких специальных уязвимостей для взлома не требовалось. Достаточно было доверить выполнение кода неизвестному автору.
Самый популярный репозиторий MENXIANGYU/qwen2-tiny вообще не содержал настоящей модели. Вместо неё находился скрипт, который устанавливал криптомайнер, маскировал его под системный процесс Linux и автоматически перезапускал после остановки. Программа также удаляла конкурирующие майнеры, а некоторые версии открывали обратную командную оболочку для удалённого доступа.
Первую волну исследователи обнаружили благодаря резервным файлам, случайно оставленным в тестовом аккаунте злоумышленника. После жалоб Hugging Face и китайская платформа ModelScope удалили связанные учётные записи. Однако через несколько дней появились ещё 19 репозиториев. Позднее атакующий опубликовал вариант со скриптом, способным выйти за пределы контейнера и захватить основной сервер.
Удалённая модель MENXIANGYU/qwen2-tiny успела набрать 28 412 загрузок к 28 октября. При этом автоматические проверки Hugging Face не выявили угрозу. Сканеры Protect AI и JFrog искали известные вредоносы и опасные форматы файлов, но не обнаружили вредоносное поведение Python-кода. Исследователи отдельно предупреждают, что число загрузок не равно количеству заражённых серверов.
Атака приносила реальные деньги. По оценке Pluto Security, основной криптокошелёк злоумышленника получил около 5000 долларов в криптовалюте Pearl (PRL). Исследователи также заметили, как девять машин предположительно одного вычислительного кластера одновременно начали майнить криптовалюту. Примерно через шесть минут активность прекратилась, возможно, после вмешательства администратора.
В техническом разборе Pluto Security связывает кампанию с финансово мотивированным китайскоязычным злоумышленником. На такую версию указывают комментарии в коде на упрощённом китайском языке, управляющие серверы в Alibaba Cloud и время активности. Окончательно личность оператора не установлена.
К моменту публикации Hugging Face заблокировала основную вредоносную модель, однако её копия от аккаунта htt0118 оставалась доступной. Владельцам серверов, загружавшим подозрительные модели с trust_remote_code, рекомендуют проверить систему на признаки компрометации и заменить доступные ей учётные данные. Простое удаление майнера не гарантирует исчезновения бэкдора.