Pesquisadores da empresa Pluto Security detectaram o retorno ativo de uma campanha de malware direcionada a repositórios de modelos de inteligência artificial na plataforma Hugging Face, onde 31 repositórios maliciosos distribuídos em sete contas diferentes foram identificados. Esta campanha visa sequestrar servidores de unidades de processamento gráfico (GPU) que executam servidores de inferência auto-hospedados, como Xinference e GPUStack, com o propósito de minerar criptomoedas ilegalmente.
Mecanismo de ataque e evasão de varredura
A campanha não depende de técnicas complexas como envenenamento de pesos (Poisoned Weights), mas sim explora a opção trust_remote_code no Hugging Face, que permite que os modelos executem seu próprio código de programação ao serem carregados. Uma vez ativada esta opção, o código malicioso instala um software de mineração de criptomoedas disfarçado de processo do sistema Linux, com recursos adicionais para abrir uma conexão reversa (Reverse Shell) que concede aos invasores acesso direto ao servidor infectado.
Apesar de os arquivos enviados à plataforma passarem por verificações de segurança, as ferramentas utilizadas concentram-se em malwares conhecidos e formatos de modelo inseguros, em vez de analisar o comportamento do código embutido. Isso permitiu que um dos modelos maliciosos passasse pela verificação e alcançasse mais de 28.000 downloads.
Alvejando agentes de programação de IA
Em um contexto relacionado, a empresa Air Security revelou a existência de um repositório falso na plataforma GitHub chamado solana-starter-kit, projetado especificamente para enganar agentes de programação baseados em inteligência artificial. Este repositório direciona os agentes para executar um comando de programação malicioso que instala uma ferramenta de acesso remoto (NetSupport RAT), dando aos invasores controle total sobre o dispositivo do desenvolvedor.
Por que esta notícia importa?
Estes incidentes destacam uma vulnerabilidade crescente nas cadeias de suprimentos de inteligência artificial. Com a dependência crescente de desenvolvedores em modelos prontos e agentes de programação automatizados, a confiança no código-fonte aberto tornou-se um ponto fraco crítico. A capacidade dos invasores de republicar seus malwares dias após sua remoção indica grandes desafios enfrentados pelas plataformas no monitoramento de conteúdo de programação dinâmico, exigindo que as organizações inspecionem cuidadosamente os modelos de programação antes de executá-los em ambientes de produção.