Forscher des Unternehmens Pluto Security haben die aktive Rückkehr einer Schadsoftware-Kampagne beobachtet, die auf KI-Modell-Repositories auf der Plattform Hugging Face abzielt. Dabei wurden 31 schädliche Repositories identifiziert, die auf sieben verschiedene Konten verteilt sind. Ziel dieser Kampagne ist es, GPU-Server (Grafikprozessoren), die selbst gehostete Inferenzserver wie Xinference und GPUStack ausführen, zu kapern, um illegal Kryptowährungen zu schürfen.
Angriffsmechanismus und Umgehung der Prüfung
Die Kampagne stützt sich nicht auf komplexe Techniken wie gewichtete Manipulation (Poisoned Weights), sondern nutzt die Option trust_remote_code in Hugging Face aus, die es Modellen ermöglicht, beim Laden eigenen Programmcode auszuführen. Sobald diese Option aktiviert ist, installiert der Schadcode ein Krypto-Mining-Programm, das als Linux-Systemprozess getarnt ist, zusammen mit zusätzlichen Funktionen zum Aufbau einer Reverse-Shell, die den Angreifern direkten Zugriff auf den infizierten Server gewährt.
Obwohl die auf die Plattform hochgeladenen Dateien Sicherheitsüberprüfungen unterzogen werden, konzentrieren sich die verwendeten Tools auf bekannte Schadsoftware und unsichere Modellformate anstatt das Verhalten des eingebetteten Programmcodes zu analysieren. Dies ermöglichte es einem der schädlichen Modelle, die Überprüfung zu umgehen und über 28.000 Downloads zu erzielen.
Angriff auf KI-Programmieragenten
In diesem Zusammenhang deckte das Unternehmen Air Security das Vorhandensein eines gefälschten Repositories auf der Plattform GitHub namens solana-starter-kit auf, das speziell darauf ausgelegt ist, KI-gestützte Programmieragenten zu täuschen. Dieses Repository weist die Agenten an, einen schädlichen Befehl auszuführen, der ein Remote-Access-Tool (NetSupport RAT) installiert und den Angreifern die vollständige Kontrolle über das Gerät des Entwicklers verschafft.
Warum diese Nachricht wichtig ist
Diese Vorfälle verdeutlichen eine wachsende Sicherheitslücke in den Lieferketten der künstlichen Intelligenz. Da sich Entwickler zunehmend auf vorgefertigte Modelle und automatisierte Programmieragenten verlassen, ist das Vertrauen in den Open-Source-Quellcode zu einer kritischen Schwachstelle geworden. Die Fähigkeit von Angreifern, ihre Schadsoftware innerhalb von Tagen nach ihrer Entfernung erneut bereitzustellen, weist auf erhebliche Herausforderungen hin, vor denen Plattformen bei der Überwachung dynamischer Programminhalte stehen. Dies zwingt Unternehmen dazu, Softwaremodelle vor ihrer Ausführung in Produktionsumgebungen sorgfältig zu überprüfen.