קמפיין מתמשך של מתקפות סייבר מנצל מאגרי מודלים בפלטפורמת Hugging Face כדי להשתלט על שרתי פיתוח ועל מעבדי גרפיקה (GPU) ייעודיים. התוקפים משתמשים במודלים זדוניים המתחזים לגרסאות בדיקה קטנות, במטרה להריץ עליהם תוכנות כריית מטבעות קריפטו ודלתות אחוריות (Backdoors). לפי הממצאים, המודלים הללו הורדו מעל 32,000 פעמים, כאשר הגרסה הפופולרית ביותר לבדה רשמה מעל 28,000 הורדות עוד בטרם הוסרה.
ניצול מנגנון טעינת הקוד הפתוח
התקפה זו אינה נשענת על הרעלת משקולות המודל או על ניצול פגיעות בקובצי Pickle קלאסיים, אלא מנצלת תכונה מובנית בפלטפורמת Hugging Face הנקראת trust_remote_code. הגדרה זו מאפשרת ליוצרי מודלים לצרף קוד Python מותאם אישית שמתבצע ישירות על המחשב המארח ברגע שהמשתמש מוריד את המודל וטוען אותו לזיכרון.
המודל המרכזי ששימש בקמפיין, אשר הופיע תחת השם MENXIANGYU/qwen2-tiny, לא היה מודל למידת מכונה כלל. במקום זאת, קוד הפייתון המצורף אליו התקין בחשאי תוכנת כריית מטבעות קריפטו שהתחפשה לתהליך מערכת רגיל של לינוקס. הקוד הזדוני נבנה כך שהוא מאתחל את תהליך הכרייה אם הוא מופסק, מוחק תוכנות כרייה מתחרות המותקנות על השרת, ובחלק מהגרסאות אף פותח מעטפת אחורית (Reverse Shell) המעניקה לתוקף גישה ישירה ומלאה לשרת הנגוע.
היעד המרכזי של הקמפיין היה שרתי הסקה (Inference) בהתקנה עצמית, כדוגמת Xinference ו-GPUStack, המשמשים צוותי פיתוח וארגונים להרצת מודלי שפה גדולים (LLM) על גבי תשתיות ענן או חומרה מקומית.
חזרה מהירה לפעילות וכישלון סורקי האבטחה
חוקרי אבטחה שזיהו את המתקפה גילו 31 מאגרים זדוניים הרשומים תחת שבעה חשבונות שונים ב-Hugging Face, אשר הועלו בשני גלים החל מחודש ספטמבר. לאחר שהגל הראשון נחשף והוסר מהפלטפורמה, כמו גם מפלטפורמת ModelScope הסינית, הופיע גל שני של 19 מאגרים חדשים תוך ימים ספורים בלבד.
אחד הממצאים הבולטים בחקירה הוא היכולת של המודלים הזדוניים לעבור בהצלחה את הבדיקות האוטומטיות של פלטפורמת Hugging Face, המסתמכת על כלי סריקה ואנטי-וירוס מתקדמים. הסורקים האוטומטיים מחפשים תוכנות זדוניות מוכרות או פורמטים לא בטוחים של מודלים, אך אינם מנתחים את האופן שבו קוד הפייתון של המודל מתנהג בפועל בזמן הרצה. כתוצאה מכך, המודל הראשי בגל השני עבר את הסריקות כ"נקי" לחלוטין והמשיך לצבור הורדות. גם לאחר דיווח נוסף על גל זה, הועלה העתק כמעט זהה תחת שם משתמש אחר (htt0118), והכיל את אותו רכיב כרייה ודלת אחורית.
נתונים כספיים שנאספו מצביעים על כך שלארנק הקריפטו המרכזי של התוקף הועברו כ-5,000 דולר במטבע Pearl (PRL). במהלך מעקב בזמן אמת, זוהו תשעה מחשבים השייכים ככל הנראה לאשכול מחשוב מבוסס GPU משותף, שהחלו לכרות מטבעות עבור התוקף בו-זמנית עד שהפעילות הופסקה כעבור כשש דקות על ידי מנהלי המערכת.
ניתוח של הערות הקוד, שרתי השליטה והבקרה (C2) בתשתיות Alibaba Cloud ושעות הפעילות מקושר לתוקף דובר סינית הפועל מניעים פיננסיים.
מלכודת חדשה: פגיעה בסוכני AI ב-GitHub
במקביל לאיום על פלטפורמות המודלים, נחשפה טקטיקה נוספת המתמקדת בשרשרת האספקה של פיתוח תוכנה בגיבוי בינה מלאכותית. מאגר קוד ב-GitHub תחת השם SolanaUpdateTools/solana-starter-kit, הפעיל בשטח מסוף שנת 2025, דורג בראש תוצאות החיפוש כאשר סוכני AI (כמו עוזרי קידוד אוטומטיים) חיפשו ערכות פיתוח עבור רשת Solana.
סוכן AI הבוחר במאגר זה וממלא אחר הוראות קובץ ה-README, עלול להריץ פקודת PowerShell זדונית מבלי שהמפתח האנושי יבחין בכך. המאגר עצמו הכיל קובץ README בלבד, ללא כל קוד פיתוח אמיתי. הפקודה מורידה ומתקינה את כלי השליטה מרחוק NetSupport Manager, המעניק לתוקף גישה נסתרת למחשב בכל התחברות של המשתמש.
כדי להסוות את ההתקפה, הסקריפט מציג הודעת שגיאה מדומה הטוענת כי "פונקציונליות הפיתוח הוקפאה זמנית עקב עומס" ומציע לנסות שוב כעבור 72 שעות - הודעה שסוכן AI יכול לפרש בקלות כבעיית תקשורת שגרתית ולהעביר אותה למפתח.
נתוני המתקפה במספרים
| פרמטר | נתון |
|---|---|
| סך הורדות מהמאגרים הנגועים | מעל 32,000 הורדות |
| המודל הזדוני המוביל (qwen2-tiny) | 28,412 הורדות |
| מספר מאגרים זדוניים שזוהו | 31 |
| רווח משוער בארנק התוקף | כ-5,000 דולר (PRL) |
מומחי אבטחה מזהירים כי משתמשים שהריצו מודלים אלו כאשר ההגדרה trust_remote_code הייתה פעילה חייבים להניח כי השרת שלהם נפרץ לחלוטין. עצירת תהליך הכרייה בלבד אינה מספיקה להסרת הדלתות האחוריות, ונדרשת החלפה מקיפה של אישורי הגישה והמפתחות שהיו נגישים למערכת.
למה זה חשוב לך
חברות ישראליות רבות, בעיקר בתחומי ההייטק וה-AI, משתמשות במודלים פתוחים מ-Hugging Face כדי לחסוך זמן פיתוח, מה שחושף אותן ישירות לסיכון מסוג זה. אם צוות הפיתוח שלכם מריץ מודלים עם ההגדרה trust_remote_code מופעלת, מומלץ לבדוק מיידית אילו מודלים הותקנו ולאמת את מקורם. כמו כן, מפתחים העושים שימוש בסוכני AI לכתיבת קוד צריכים לנהוג בזהירות יתרה ולא לסמוך עיוורת על הוראות ממאגרי קוד לא מאומתים, שכן תקיפות כאלה עלולות להוביל לגניבת מידע עסקי רגיש או לנזק כספי ישיר.
התוכן בכתבה זו נועד לספק סקירה כללית בלבד ואינו מהווה תחליף לייעוץ מקצועי פרטני. המערכת אינה אחראית לכל נזק או הפסד שייגרם כתוצאה מהסתמכות על המידע המוצג.
קראו גם: גוגל תופסת את ההובלה במדד ה-AI: OpenAI מגיבה בקיצוץ מחירים חד · חשד לקיצורי דרך: מעבדות AI בסין נעזרו ב-OpenAI לפיתוח מודלים
