Pluto Security: cum a fost transformată o funcție standard într-un vector de atac

Cum devine încrederea un vector de atac?

Pluto Security a identificat o campanie de criptomining pe Hugging Face Hub. Atacul exploatează flag-ul `trust_remote_code` din biblioteca `transformers`.

Acest flag permite modelelor să execute cod Python arbitrar la încărcare. Atacatorul a folosit această funcție documentată pentru a infecta mașinile, fără nicio exploatare zero-day. Campania țintește dezvoltatorii și cercetătorii care folosesc modele AI open-source.

Mecanismul se bazează pe un depozit de modele care conține scripturi Python malițioase. Când un utilizator încarcă modelul cu `trust_remote_code=True`, biblioteca execută codul încorporat. Acesta declanșează payload-ul de criptomining. Atacatorul nu a spart biblioteca; a folosit funcționalitatea ei documentată. Acest lucru face atacul deosebit de insidios, deoarece pare un comportament normal al software-ului.

Vulnerabilitatea stă în alegerea de design de a permite execuția de cod remote. Deși utilă pentru arhitecturi de modele personalizate, creează o suprafață de atac largă. Analiza Pluto Security arată că minerul rulează tăcut în fundal. Consumă resursele CPU și GPU pentru a mina criptomonede. Utilizatorii observă de obicei doar după ce sistemul lor încetinește semnificativ. Codul este ascuns în fișierele de configurare ale modelului.

Dezvoltatorii trebuie să auditeze fiecare depozit de modele înainte de a-l încărca

Dezvoltatorii trebuie să auditeze fiecare depozit de modele înainte de a-l încărca. Flag-ul `trust_remote_code` trebuie tratat ca o decizie de securitate, nu ca o comoditate. Pluto Security recomandă dezactivarea flag-ului, exceptând cazurile în care este absolut necesar. Organizațiile ar trebui să izoleze mediile de încărcare a modelelor. Acest lucru împiedică un model compromis să acceseze sistemul gazdă. Incidentul evidențiază necesitatea unei verificări mai stricte a lanțului de aprovizionare în ecosistemul AI.

Ce este flag-ul `trust_remote_code`? Este un parametru în biblioteca `transformers`. Permite unui model să ruleze cod Python personalizat la inițializare. Funcția este destinată pentru modele cu arhitecturi non-standard.

Cum a ascuns atacatorul criptominerul?

Codul malițios a fost încorporat în fișierele Python ale modelului. A fost executat automat când modelul a fost încărcat cu flag-ul de încredere activat. Minerul a rulat tăcut, folosind resursele sistemului pentru minare.

Ce ar trebui să facă dezvoltatorii pentru a rămâne în siguranță? Dezactivează `trust_remote_code` implicit. Activează-l doar pentru modele care necesită explicit cod personalizat. Verifică întotdeauna fișierele sursă ale modelului înainte de încărcare. Folosește medii izolate pentru a conține eventualele malware-uri.