Investigadores de la empresa Pluto Security han detectado el retorno activo de una campaña de software malicioso dirigida a los repositorios de modelos de inteligencia artificial en la plataforma Hugging Face, donde se identificaron 31 repositorios maliciosos distribuidos en siete cuentas diferentes. Esta campaña tiene como objetivo secuestrar servidores de unidades de procesamiento gráfico (GPU) que ejecutan servidores de inferencia autoalojados como Xinference y GPUStack, con el fin de minar criptomonedas de forma ilegal.
Mecanismo de ataque y elusión de análisis
La campaña no se basa en técnicas complejas como el envenenamiento de pesos (Poisoned Weights), sino que explota la opción trust_remote_code en Hugging Face, la cual permite que los modelos ejecuten su propio código personalizado al ser cargados. Una vez activada esta opción, el código malicioso instala un programa de minería de criptomonedas disfrazado de proceso del sistema en Linux, junto con funciones adicionales para abrir una conexión inversa (Reverse Shell) que otorga a los atacantes acceso directo al servidor infectado.
A pesar de que los archivos subidos a la plataforma se someterán a revisiones de seguridad, las herramientas utilizadas se centran en software malicioso conocido y formatos de modelos inseguros, en lugar de analizar el comportamiento del código incorporado, lo que permitió que uno de los modelos maliciosos eludiera la revisión y alcanzara más de 28,000 descargas.
Ataque a agentes de programación de inteligencia artificial
En un contexto relacionado, la empresa Air Security reveló la existencia de un repositorio falso en la plataforma GitHub llamado solana-starter-kit, diseñado específicamente para engañar a los agentes de programación basados en inteligencia artificial. Este repositorio ordena a los agentes ejecutar un comando malicioso que instala una herramienta de acceso remoto (NetSupport RAT), otorgando a los atacantes el control total del dispositivo del desarrollador.
¿Por qué importa esta noticia?
Estos incidentes ponen de relieve una vulnerabilidad creciente en las cadenas de suministro de inteligencia artificial. Con la creciente dependencia de los desarrolladores en modelos listos para usar y agentes de programación automatizados, la confianza en el código fuente abierto se ha convertido en un punto crítico de vulnerabilidad. La capacidad de los atacantes para republicar su software malicioso a los pocos días de ser eliminado indica desafíos significativos para las plataformas en la supervisión del contenido de código dinámico, lo que obliga a las organizaciones a examinar minuciosamente los modelos de código antes de ejecutarlos en entornos de producción.