Hugging Face et ClawHub compromis : des logiciels malveillants dans des centaines de modèles d'IA

Les dépôts de modèles d'apprentissage automatique Hugging Face et ClawHub ont été compromis de façon systématique. On y a trouvé des centaines de modèles malveillants qui exécutent du code arbitraire sur les machines des développeurs.

Que s'est-il passé

Hugging Face est le dépôt central qui héberge plus d'un million de modèles de ML, utilisés par pratiquement toutes les entreprises d'IA de la planète. On y a découvert des centaines de modèles malveillants déguisés en modèles légitimes. C'est la première attaque d'envergure sur la chaîne d'approvisionnement de l'infrastructure d'IA.

Les modèles malveillants ont fait surface à cause d'une sécurité mal configurée. Hugging Face permet à n'importe quel utilisateur de téléverser des modèles, et les attaquants en ont profité. ClawHub, un dépôt de compétences pour agents, est lui aussi compromis via des modules téléversés par des utilisateurs.

Ampleur de l'attaque

• Des centaines de modèles malveillants sur Hugging Face
• Cachés parmi plus d'un million de modèles légitimes
• Touchent les API et les projets privés des développeurs
• ClawHub et d'autres dépôts sont également compromis
• Première attaque systématique contre l'infrastructure de ML

Comment fonctionne le logiciel malveillant

Le logiciel malveillant s'introduit dans le modèle au moment de son chargement. Lorsqu'un développeur télécharge un modèle via le SDK Hugging Face ou l'importe dans son code, une initialisation a lieu. C'est à cette étape que le code malveillant s'exécute.

Ce qu'il peut faire : exécuter du code arbitraire sur la machine, voler des données de l'environnement de travail du développeur, installer des portes dérobées pour un accès à distance, compromettre des systèmes de production lors du déploiement d'un modèle infecté et se propager aux projets dépendants via la chaîne de dépendances.

Pourquoi c'est dangereux

Les développeurs d'IA traitent Hugging Face comme l'équivalent de npm ou de PyPI : ils récupèrent les modèles comme des dépendances, sans vérifier le code. Personne ne relit à la main le contenu des modèles de ML, car c'est impossible à grande échelle.

Un modèle malveillant peut rester dormant pendant des mois dans un système en production, en attendant une condition précise, ou agir discrètement en collectant des données au compte-gouttes. C'est une attaque classique sur la chaîne d'approvisionnement, mais dans le contexte de l'IA elle est encore plus dangereuse : ce n'est pas une bibliothèque qui est infectée, mais du code prêt à s'exécuter avec tous les privilèges.

Ce que cela signifie

L'infrastructure de développement de l'IA est devenue une cible sérieuse. L'industrie a besoin de mesures urgentes : des mécanismes de vérification du code des modèles, l'isolation de l'exécution au chargement et des exigences plus strictes pour le téléversement vers les dépôts centraux. Cela deviendra une condition indispensable pour travailler avec des modèles ouverts.