Zatruta przynęta na szczycie Hugging Face: fałszywy model OpenAI ukradł tysiące haseł

Wystarczyło 18 godzin, by zaufanie do największej biblioteki open-source świata AI legło w gruzach. Złośliwe repozytorium udające model Privacy Filter od OpenAI nie tylko trafiło na szczyt listy trendów Hugging Face, ale zostało pobrane niemal 244 000 razy, zanim ktokolwiek zauważył, że pod maską kryje się cyfrowy trojan.

Inżynieria społeczna wspomagana botami

To nie był prymitywny atak. Hakerzy operujący pod szyldem Open-OSS skopiowali dokumentację OpenAI słowo w słowo, tworząc idealną iluzję autentyczności. Aby uwiarygodnić pułapkę, użyli farm botów do wygenerowania 657 polubień w rekordowym czasie. To klasyczny mechanizm „social proof” – jeśli coś jest w trendach i ma tysiące gwiazdek, większość deweloperów przestaje czytać kod źródłowy.

Naiwność kosztuje.

W rzeczywistości proces instalacji uruchamiał wielofazowy infostealer napisany w języku Rust. Podczas gdy użytkownik widział na ekranie fałszywe paski postępu imitujące trenowanie modelu, skrypt potajemnie modyfikował wyjątki w Windows Defenderze i nadawał sobie uprawnienia systemowe.

Technologia ukryta pod płaszczem AI

Anatomia infekcji

Atak charakteryzował się wyjątkową czystością operacyjną. Zamiast zaszywać złośliwy kod bezpośrednio w repozytorium, loader pobierał instrukcje z zewnętrznych serwisów typu JSON paste. To pozwoliło napastnikom zmieniać ładunek bez modyfikowania plików na platformie Hugging Face.

• Selektywność: Złośliwe oprogramowanie sprawdzało, czy pracuje w środowisku wirtualnym (sandbox) i przerywało działanie, by uniknąć wykrycia przez badaczy bezpieczeństwa.
• Totalna kradzież: Narzędzie wyciągało wszystko – od haseł w Chrome i Firefox, przez tokeny Discorda, aż po klucze prywatne do portfeli kryptowalutowych.
• Zacieranie śladów: Po wysłaniu danych na serwer C2, zaplanowane zadania systemowe były natychmiast usuwane, nie zostawiając niemal żadnych logów.

Szerszy problem ekosystemu

Eksperci z firmy HiddenLayer ostrzegają: to nie był wypadek przy pracy, ale skoordynowana kampania. Identyczne mechanizmy wykryto w sześciu innych repozytoriach podszywających się pod modele Qwen3 czy DeepSeek.

Hugging Face stało się nowym polem bitwy ataków typu supply chain. Platforma, która stała się de facto standardem wymiany wiedzy w świecie AI, obecnie ma te same problemy, z którymi od lat zmagają się npm czy PyPI. Problem polega na tym, że deweloperzy AI częściej ufają „gotowcom” niż tradycyjni programiści.

Co, jeśli zainstalowałeś Open-OSS?

Jeśli uruchomiłeś pliki start.bat lub loader.py z trefnego źródła, Twoja maszyna musi zostać uznana za całkowicie przejętą. Nie wystarczy zmiana hasła. Standardowa procedura w tym przypadku to pełne czyszczenie dysku, unieważnienie wszystkich sesji OAuth oraz natychmiastowe przeniesienie środków z portfeli kryptograficznych na nowo wygenerowane adresy.

W świecie AI „open source” nie zawsze oznacza „bezpieczny”.

Incydent z Privacy Filter to bolesna lekcja dla całej branży. Algorytmy promujące trendy na Hugging Face można zmanipulować za grosze, a brak rygorystycznej weryfikacji tożsamości autorów sprawia, że instalowanie bibliotek AI staje się rosyjską ruletką.