OpenAI 在 4 月下旬发布了隐私过滤器，这是一个小型开放权重模型，旨在检测并自动编辑文本中的个人身份信息。它以 Apache 2.0 许可证登陆 Hugging Face，并很快引起了开发人员的兴趣。有人注意到了。
几天之内，一个名为“Open-OSS”的虚假帐户发布了一个名为privacy-filter的几乎相同的存储库。模型卡是从 OpenAI 中逐字复制的。 “自述”文件中的唯一区别是：克隆存储库并在 Windows 上运行名为 start.bat 的文件或在 Linux 和 Mac 上运行名为 loader.py 的文件的说明。
18 小时内，该假仓库在 Hugging Face 的趋势页面上排名第一，下载量约为 244,000 次，点赞数为 667。标记该活动的人工智能安全公司 HiddenLayer 发现，这 667 个点赞中的 657 个来自与可预测的自动生成的机器人命名模式匹配的帐户。
下载数量几乎肯定是以同样的方式膨胀的。制造社会证明，使诱饵看起来真实。
恶意软件的实际工作原理
该恶意软件的工作原理基本上就像一颗毒丸，包裹在一层非常令人信服的糖果涂层中。 loader.py 脚本打开时会显示假模型训练输出（进度条、合成数据集、虚拟类名称），旨在看起来像是真正的 AI 加载程序正在运行。
在幕后，它悄悄地禁用安全检查，从公共 JSON 粘贴站点提取编码命令（一个聪明的技巧：有效负载更改时无需更新存储库），并将该命令传递给完全隐藏在后台运行的 PowerShell。 Windows 用户看不到任何内容。
该命令从模仿区块链分析 API 的域下载第二个脚本。该脚本下载实际的恶意软件（用 Rust 编写的定制信息窃取程序），将其添加到 Windows Defender 的排除列表中，然后通过计划任务以系统级权限启动它，该任务在启动后立即删除自身。整个链条运行并自行清理，几乎不留下任何痕迹。
最终的有效负载是彻底的。它会获取 Chrome 和 Firefox 中存储的所有内容——保存的密码、会话 cookie、浏览器历史记录、加密密钥等等。它针对 Discord 帐户、加密货币钱包助记词、SSH 密钥、FTP 凭据，并在所有监视器上截取屏幕截图。然后，它将所有内容打包为压缩的 JSON 包，并将其发送到攻击者控制的服务器。
我们无需告诉您黑客稍后可以利用所有这些信息做什么。
该恶意软件还会检查它是否在虚拟机或安全沙箱中运行，如果检测到，就会悄悄退出。它被设计为在真实目标上运行一次，窃取所有内容，然后消失。
为什么这不仅仅是一个存储库
这不是一个孤立的事件。它是模式的一部分。 HiddenLayer 在名为“anthfu”的单独 Hugging Face 帐户下发现了另外 6 个存储库，该帐户于 4 月底上传，使用完全相同的恶意加载程序指向完全相同的命令服务器。这些存储库冒充 Qwen3、DeepSeek 和 Bonsai 等模型来吸引 AI 开发人员。
基础设施本身 - 一个名为 api.eth-fastscan.org 的域 - 还观察到托管一个单独的恶意软件样本，该样本向命令服务器发送信标。 HiddenLayer 认为这两个活动之间的联系“可能有联系”，并警告说，仅共享基础设施并不能确认单个操作者。
这就是针对人工智能开发者社区的供应链攻击。攻击者不会侵入 OpenAI 或 Hugging Face。他们只是发布令人信服的相似内容，与机器人玩弄趋势算法，然后等待开发人员完成剩下的工作。 2024 年，类似的剧本出现在 Lottie Player JavaScript 库中，一名用户花费了 10 比特币（当时价值超过 70 万美元）。
如果你下载了怎么办？
如果您在 Windows 计算机上克隆了 Open-OSS/privacy-filter 并从中运行了任何文件，则应将该设备视为完全受损。在擦除之前不要从该机器登录任何内容。
之后，更改浏览器中存储的所有凭据 - 密码、会话 cookie、OAuth 令牌。尽快将所有加密资金转移到在干净设备上生成的新钱包，并假设助记词被盗。
由于它还会获取您的 Discord 信息，并且该服务高度自动化，因此您应该使您的 Discord 会话无效并重置该密码。该计算机上的任何 SSH 密钥或 FTP 凭据都应被视为已烧毁。
该存储库现已删除。 Huggingface 尚未透露其计划对趋势存储库实施哪些额外筛选措施（如果有）。
截至目前，已识别出来自该活动的 7 个已确认的恶意存储库。还有多少存在——或者在被发现之前就已经存在——仍然未知。