Поддельные модели на Hugging Face вернулись после блокировки и крадут время GPU для майнинга
Публикация источника: 2026-10-29 · Редакционный анализ опубликован: 2026-10-31
Отчёт Load/Mine от 29 октября отслеживает 31 репозиторий кампании и более 32000 скачиваний с учётом связанных моделей. Это не число заражений; риск связан с запуском стороннего кода, не официальным релизом Qwen.
Поддельная модель принесла постороннюю работу
В исследовании Load/Mine от 29 октября Pluto Security описала скрытый майнинг и бэкдоры через репозитории моделей Hugging Face. По данным исследователей, после удаления аккаунтов кампания вернулась за несколько дней. Для владельца GPU, совмещающего AI и майнинг либо арендующего мощности, проблема практическая: электричество и вычисления могут работать на чужой майнинговый счёт.
Репозитории подражали небольшим тестовым моделям Qwen2. Это не доказательство, что официальный Qwen или сама Hugging Face намеренно поставляли майнер. Описанный путь — разрешение стороннему Python-коду выполняться при загрузке модели. Знакомый домен или название семейства не подтверждают автора конкретного репозитория и безопасность действий.
Число загрузок не равно числу пострадавших
Отчёт различает 31 репозиторий основной кампании и 13 связанных моделей. Таблица на 28 октября содержит 29818 загрузок кампании и 2558 связанных моделей —32376 вместе. Это более 32000 скачиваний с учётом связанных моделей, не 32000 подтверждённых заражённых компьютеров, уникальных пользователей или организаций.
Pluto описывает наблюдения пулов и блокчейна, подтверждающие реальный майнинг. Они показывают, почему речь не о безобидном файле, но не делают каждое скачивание жертвой. Статусы репозиториев и сетевые наблюдения имеют собственные даты. Мы не обращались к вредоносным серверам и не проверяли, какие опасные страницы активны сегодня.
Код может запуститься раньше весов модели
Веса — числовые данные AI-модели. Некоторые репозитории содержат также её реализацию Python. Документированная опция trust_remote_code=True позволяет выполнять её с правами процесса загрузки. В изученной кампании вредоносный код стартовал до инициализации модели, поэтому и неудачная загрузка могла затронуть систему.
Это не означает выполнение удалённого кода по умолчанию при любой загрузке или обязательное заражение весов. Использовалась сторонняя реализация. Более безопасный формат весов safetensors защищает другую часть пакета и не подтверждает соседний Python-файл. Проверяйте исполняемый компонент и разрешение, а не только название файла весов.
Hugging Face описывает проверки malware и pickle вместе с ограничениями. Чистый результат полезен для конкретной проверки, не гарантируя безопасность всех действий программы. По отчёту, изученные файлы проходили запущенные сканеры. Автор и проверенная версия кода остаются частью решения, которую не заменяет зелёная отметка.
Остановка майнера может оставить доступ
Pluto описывает закрепление и бэкдоры вместе с майнинговой нагрузкой. Закрепление позволяет постороннему коду запускаться снова, бэкдор открывает другой путь входа. После блокировок кампания меняла методы. Поэтому завершить процесс или удалить запись модели недостаточно для доказательства восстановленной надёжности сервера.
Для GPU-хоста последствия могут включать потерю мощности, облачный счёт и раскрытие доступных процессу учётных данных. Это возможная зона риска, не заявление об утрате всех секретов каждой учётной записи. Ведите список ожидаемой работы: необычная нагрузка требует проверки, но нормальная утилизация не исключает уже запущенного загрузчика.
Практическая реакция для общих GPU-систем
Если выявленная модель загружалась с разрешённым сторонним кодом, исследователи советуют проверить хост даже после ошибки. Изолируйте среду, сохраните записи процессов, соединений и заданий, проверьте другие машины с той же версией. Не запускайте подозрительную модель снова лишь для повторения сообщения или сравнения ответа.
С чистой машины отзовите или замените доступные процессу учётные данные и проверьте их использование. Оцените автозапуск, задания и ключи доступа как часть удаления закрепления. Если целостность установить нельзя, восстановите хост из доверенного образа. Передавать seed-фразу человеку, обещающему быстро убрать майнер, не требуется.
В новом процессе оценки неизвестного кода ограничьте права и сеть, не давайте рабочие секреты. Проверяйте и фиксируйте точную версию модели до разрешения выполнения. Удаление репозитория уменьшает распространение, но не отменяет уже выполненный на GPU-сервере код. Майнеру важно контролировать и работу железа, и программу, которой разрешено её запускать.
Источник: Pluto Security ↗ · Hugging Face malware-scanning documentation ↗ · Hugging Face pickle-scanning limitations ↗
Калькулятор майнинга ↗
