Quisieron ejecutar Qwen2 y acabaron activando una granja de criptominería: detectan suplantación masiva en Hugging Face

Modelos de IA maliciosos en Hugging Face se descargaron más de 32.000 veces, y el más popular acumuló más de 28.000 descargas. En lugar de redes neuronales, los usuarios recibían mineros ocultos y puertas traseras. Incluso después de eliminar los repositorios peligrosos, los atacantes regresaron rápidamente a la plataforma.

Especialistas de Pluto Security detectaron 31 repositorios maliciosos, publicados a través de siete cuentas de Hugging Face. La campaña comenzó en septiembre de 2026 y se desarrolló en dos oleadas. Los atacantes presentaban sus desarrollos como pequeños modelos de prueba Qwen2 y se dirigían a propietarios de servidores con tarjetas gráficas que ejecutan redes neuronales mediante Xinference y GPUStack.

Para la infección usaban el parámetro trust_remote_code, que permite ejecutar código Python suministrado junto con el modelo. Si el usuario permitía esa función, el programa malicioso se ejecutaba incluso antes de cargar la propia red neuronal. No se requerían vulnerabilidades especiales para la intrusión. Bastaba con confiar la ejecución del código a un autor desconocido.

El repositorio más popular, MENXIANGYU/qwen2-tiny, en realidad no contenía un modelo verdadero. En su lugar había un script que instalaba un minero de criptomonedas, lo disfrazaba como un proceso del sistema Linux y lo reiniciaba automáticamente tras su detención. El programa también eliminaba mineros rivales, y algunas versiones abrían una shell inversa para acceso remoto.

Los investigadores detectaron la primera oleada gracias a archivos de respaldo dejados por error en la cuenta de pruebas del atacante. Tras denuncias, Hugging Face y la plataforma china ModelScope eliminaron las cuentas vinculadas. Sin embargo, unos días después aparecieron otros 19 repositorios. Más tarde, el atacante publicó una variante con un script capaz de escapar del contenedor y comprometer el servidor principal.

El modelo eliminado MENXIANGYU/qwen2-tiny llegó a acumular 28.412 descargas hasta el 28 de octubre. Al mismo tiempo, las comprobaciones automáticas de Hugging Face no detectaron la amenaza. Los escáneres Protect AI y JFrog buscaban malware conocido y formatos de archivo peligrosos, pero no detectaron comportamiento malicioso en el código Python. Los investigadores advierten por separado que el número de descargas no equivale al número de servidores infectados.

El ataque generó dinero real. Según la estimación de Pluto Security, la cartera principal del atacante recibió alrededor de 5.000 dólares en la criptomoneda Pearl (PRL). Los investigadores también notaron que nueve máquinas, presumiblemente de un mismo clúster de cómputo, comenzaron a minar criptomoneda al mismo tiempo. Aproximadamente seis minutos después la actividad se detuvo, posiblemente tras la intervención de un administrador.

En el análisis técnico, Pluto Security relaciona la campaña con un atacante de habla china con motivación financiera. A esta versión apuntan los comentarios en el código en chino simplificado, los servidores de control en Alibaba Cloud y los horarios de actividad. La identidad del operador no se ha establecido definitivamente.

Al momento de la publicación, Hugging Face había bloqueado el modelo malicioso principal, aunque su copia del usuario htt0118 seguía estando disponible. Se recomienda a los propietarios de servidores que descargaron modelos sospechosos con trust_remote_code que revisen el sistema en busca de signos de compromiso y reemplacen las credenciales a las que pudo acceder. El simple borrado del minero no garantiza la desaparición de la puerta trasera.