Das am häufigsten heruntergeladene Modell der Kampagne, MENXIANGYU/qwen2-tiny, enthielt laut BleepingComputer überhaupt kein Modell. Sein Code installiert still einen als Linux-Systemprozess getarnten Kryptominer, startet ihn nach einem Beenden neu und entfernt konkurrierende Miner von der Maschine. Forscher von Pluto Security stießen auf 31 bösartige Repositorien über sieben Hugging-Face-Konten, die seit September in zwei Wellen veröffentlicht wurden. Eine zweite Welle von 19 Repositorien erschien innerhalb weniger Tage unter neuen Konten.
Der Schalter heißt trust_remote_code
Sauber gescannt heißt also nicht automatisch harmlos.
Hugging Face prüft Uploads mit Antivirus- und Partnerwerkzeugen von Protect AI und JFrog, berichtet BleepingComputer. Laut Pluto Security suchen diese Werkzeuge nach bekannter Malware und unsicheren Modellformaten – nicht danach, was der Python-Code eines Modells tatsächlich tut. Das erklärt, warum das Flaggschiff der zweiten Welle sauber durch den Scan kam, während es weiter heruntergeladen wurde. JFrog meldete den Forschern zufolge, die Payload-Datei sei „not a machine-learning model“ – also gar kein Modell.
Die Downloads des Flaggschiff-Modells stiegen von 7.354 zum Zeitpunkt des Berichts auf 28.412 bis zum 28. Oktober, so BleepingComputer. Wer eine Zahl wie diese sieht, sollte sie nicht mit bestätigten Infektionen verwechseln – es sind Downloads, nicht mehr.
Abgeschaltet ist nicht verschwunden
Die zweite Welle kam trotzdem. Pluto Security fand die Kampagne laut BleepingComputer über ein Testkonto, dessen zurückgelassene Backup-Dateien auf die Hauptkonten des Angreifers verwiesen. Der Sicherheitsanbieter meldete die erste Welle an Hugging Face und an Chinas ModelScope, und beide Plattformen entfernten die Konten.
Zusammen mit verlinkten Modellen kommen die Repositorien auf mehr als 32.000 Downloads. Pluto zufolge zählt diese Zahl Downloads, nicht bestätigte Infektionen.