Hugging Face’teki 31 kötü amaçlı depoda Perl (PRL) madencisi dağıtıldı

Hugging Face’teki 31 model deposu kötüye kullanılarak Perl (PRL) madencisi ve bazı arka kapılar dağıtıldı. Saldırganlar model ağırlıklarını değil, depolardaki Python kodunu çalıştıran yolu kullandı.

Pluto Security, 29 Ekim’de yayımladığı ‘Load/Mine’ raporunda, eylül ayından bu yana 7 Hugging Face hesabında paylaşılan 31 kötü amaçlı depoyu izlediğini bildirdi. İlk 12 depo kaldırıldıktan sonra yeni hesaplarda 19 depo daha ortaya çıktı. İlgili modellerin bazıları ModelScope’ta da yer aldı.

Pluto Security’nin 28 Ekim itibarıyla yaptığı sayımda, ikinci gruptaki 19 depo 29.090 kez indirilmişti. Silinmeden önce kaydedilen ilk 12 depodaki 728 indirme de eklendiğinde, 31 depoda toplam 29.818 indirme sayıldı. Bağlantılı 13 depodaki 2.558 indirmeyle birlikte toplam, 44 depoda 32.376’ya ulaştı.

En çok indirilen depo, 28 Ekim itibarıyla 28.412 indirmeye ulaşan ‘MENXIANGYU/qwen2-tiny’ oldu. Bu rakam indirme sayısını gösteriyor; enfekte cihaz veya mağdur sayısını değil.

Öne çıkan depodaki config.json dosyası, auto_map aracılığıyla modeling_evil2.py dosyasını çağıracak şekilde ayarlanmıştı. Kullanıcı model yüklerken trust_remote_code=True seçeneğini etkinleştirirse depodaki Python kodu çalışabiliyordu.

Pluto Security, kodun model ağırlıkları yüklenmeden önce çalışabileceğini belirtti. Depodaki model.safetensors dosyası 42 bayttı ve gerçek model tensörlerini içermiyordu.

Çalıştırılan kod, peakminer madencisini kuruyor ve madenci durursa yeniden başlatan bir izleme programı bırakıyordu. Saldırının temel yolu kötü amaçlı model ağırlıkları değil, uzaktaki kodun çalıştırılmasına izin veren model yükleme ayarıydı.

Bazı sürümlerde dışarıdan komut çalıştırmaya imkân veren ters kabuklar bulundu. Sonraki depolardan birinde, ayrıcalıklı bir konteynerden ana makineye kaçmayı amaçlayan kod da vardı.

Rapora göre Pluto Security’nin izlediği ilk madencilik cüzdanı, 716 işlemde yaklaşık 2.276 Perl aldı ve yaklaşık 2.241 Perl’i başka adreslere gönderdi. Bu kayıtlar cüzdanın giriş ve çıkış miktarlarını gösteriyor; zararı veya saldırganın net kazancını değil.

Araştırmacılar, madencilik havuzuna 9 işçinin 90 saniye içinde katıldığını ve yaklaşık 6 dakika sonra hesaplama sonucu göndermeyi bıraktığını gösteren kayıtları da paylaştı. İşçi sayısı, enfekte cihaz sayısıyla aynı değil.

Pluto Security, olayı Hugging Face platformunun ihlali veya bilinen bir açığın kullanılması olarak tanımlamadı. Rapordaki değerlendirmeye göre kötü amaçlı depolar, kullanıcıların uzaktaki kodu çalıştırmasına izin veren özelliği kullandı.

Hugging Face, 2 GB’tan küçük depo dosyalarını her commit’te kötü amaçlı yazılım tarayıcısına gönderdiğini belirtiyor. Pluto Security, incelediği örnek kötü amaçlı Python dosyasının taramada güvenli olarak işaretlendiğini bildirdi.

Hugging Face, özel model kodu yüklenirken kötü amaçlı kod çalıştırma riskine karşı dikkatli olunmasını ve incelenmiş belirli bir sürümün sabitlenerek kullanılmasını öneriyor. Bu, modeli çalıştırmadan önce depo kodunu gözden geçirmek ve kullanılacak sürümü belirlemek anlamına geliyor.

TokenPost daha önce Perl madencilerinin yapay zekâ hesaplama gücü sağlayıp token aldığı yapıyı haberleştirmişti. Bu rapor ise kötü amaçlı depolar üzerinden madenci dağıtımını ve belirli bir cüzdandaki token hareketlerini ele alıyor. Raporda Perl’in fiyatı veya işlem hacmi üzerindeki etkiye ilişkin bir veri sunulmadı.