Pluto Security社の研究者は、Hugging Faceプラットフォーム上のAIモデルリポジトリを標的としたマルウェアキャンペーンが活発に再復活していることを検出し、7つの異なるアカウントに分散した31個の悪意あるリポジトリを特定した。このキャンペーンは、XinferenceやGPUStackなどのセルフホスト型推論サーバーを実行しているGPUサーバーを乗っ取り、不正に暗号資産をマイニングすることを目的としている。
攻撃の仕組みとスキャンのバイパス
このキャンペーンは、重みの汚染（Poisoned Weights）のような複雑な技術には依存せず、モデルのロード時に独自のコード実行を許可するHugging Faceのtrust_remote_codeオプションを悪用している。このオプションが有効化されると、悪意あるコードはLinuxのシステムプロセスに偽装した暗号資産マイニングプログラムをインストールし、攻撃者に感染サーバーへの直接アクセスを与えるリバースシェルを開く追加機能も備えている。
プラットフォームにアップロードされたファイルはセキュリティスキャンの対象となるものの、使用されているツールは埋め込みコードの動作分析ではなく、既知のマルウェアや安全でないモデル形式に焦点を当てているため、悪意あるモデルの1つがスキャンをすり抜け、28,000回以上のダウンロードを記録した。
AIコーディングエージェントの標的化
これに関連して、Air Security社は、AIベースのコーディングエージェントをだますために特別に設計されたsolana-starter-kitという名前の偽のGitHubリポジトリの存在を明らかにした。このリポジトリは、エージェントに悪意あるコマンドを実行するよう誘導し、リモートアクセスツール（NetSupport RAT）をインストールさせることで、攻撃者に開発者のデバイスへの完全な制御権を与える。
なぜこのニュースが重要なのか
これらのインシデントは、AIサプライチェーンにおける増大するセキュリティ脆弱性を浮き彫りにしている。開発者がすぐに使えるモデルや自動コーディングエージェントに依存する度合いが増すにつれて、オープンソースのコードに対する信頼は重大な弱点となっている。攻撃者がマルウェアの削除から数日以内に再展開する能力は、動的なコードコンテンツを監視するプラットフォームにとって大きな課題を示しており、組織は本番環境で実行する前にモデルコードを徹底的にスキャンすることが求められる。