Досье nullifai-hugging-face-pickleЦепочка поставок ИИВесь мир
nullifAI: модели с повреждёнными pickle-файлами на Hugging Face обходят Picklescan и содержат reverse shell
ReversingLabs обнаружила на Hugging Face две модели, в которых сжатые 7z и намеренно повреждённые pickle-потоки скрывали reverse shell к жёстко заданному IP-адресу, при этом проходя проверки Picklescan на Hugging Face.
СредняяАтака на ИИСтатус: ИсправленПроверенное досье
Открыть на интерактивной картеЦитировать это досье
- Дата сообщения
- 6 февр. 2025
- Локация
- Весь мир
- Цель
- Пользователи Hugging Face Hub, загружающие модели PyTorch
- Критичность
- Средняя
- Инициатор
- Неизвестен
- Тип субъекта
- Неизвестно
- Сектор
- Технологии и вендоры ИИ
- Заявленные убытки
- Не заявлены
- CVE
- Нет
Что произошло
ReversingLabs обнаружила на Hugging Face две модели, в которых сжатые 7z и намеренно повреждённые pickle-потоки скрывали reverse shell к жёстко заданному IP-адресу, при этом проходя проверки Picklescan на Hugging Face.
Последствия: Две модели с платформозависимым reverse shell к 107.173.7.141 находились в публичном доступе и не были обнаружены сканированием Picklescan, ProtectAI и ClamAV; подтверждённых жертв нет
Кто стоит за инцидентом
Субъект: Неизвестен
Атрибуция: Загружены учётными записями glockr1 и who-r-u0000; ReversingLabs оценила модели скорее как proof of concept, чем как активную кампанию, и атрибуцию не проводила
Мотив: Неизвестен; полезная нагрузка давала удалённый доступ к командной оболочке любой машины, десериализовавшей модель
Как это произошло
Вектор атаки: Файлы моделей PyTorch, упакованные в 7z вместо ZIP, с pickle-потоком, повреждённым после вредоносных опкодов, из-за чего сканеры завершались с ошибкой, не успев пометить встроенный reverse shell
Первопричина: Десериализация pickle по своей природе выполняет произвольный код; Picklescan прекращал анализ на некорректных потоках и не распознавал архивы, отличные от ZIP
Хронология
- ReversingLabs сообщает Hugging Face о двух вредоносных репозиториях
- Hugging Face удаляет модели в течение 24 часов и обновляет Picklescan для обработки повреждённых pickle-файлов
- ReversingLabs публикует описание техники nullifAI с индикаторами компрометации
Реагирование
Hugging Face удалила репозитории и исправила Picklescan; ReversingLabs опубликовала IOC и призвала использовать safetensors вместо форматов на основе pickle
Текущий статус: Исправлен
Источники (открываются в новой вкладке)
- ReversingLabs reversinglabs.com
- The Hacker News thehackernews.com
- Help Net Security helpnetsecurity.com
Цитировать это досье
nullifAI: модели с повреждёнными pickle-файлами на Hugging Face обходят Picklescan и содержат reverse shell. AI Threat Watch, досье nullifai-hugging-face-pickle, 6 февр. 2025. https://aithreat.io/ru/cases/nullifai-hugging-face-pickle/
Постоянная ссылка: https://aithreat.io/ru/cases/nullifai-hugging-face-pickle/