周三下午，一位數(shù)據(jù)科學(xué)家下載了一個(gè)看起來再普通不過的圖像識(shí)別模型。三分鐘后，他的電腦開始瘋狂發(fā)熱——不是因?yàn)橛?xùn)練任務(wù)，而是有人在用他的顯卡挖加密貨幣。

這不是孤例。Hugging Face和ClawHub，AI行業(yè)最大的兩個(gè)模型與智能體技能倉庫，已經(jīng)被系統(tǒng)性滲透。前者托管著全球幾乎所有AI公司都在用的百萬級(jí)機(jī)器學(xué)習(xí)模型，后者是OpenClaw智能體技能的公共注冊(cè)中心。它們現(xiàn)在成了攻擊者的游樂場(chǎng)。

Protect AI與Hugging Face合作掃描了超過400萬個(gè)模型，發(fā)現(xiàn)約35.2萬個(gè)不安全或可疑問題，分布在5.17萬個(gè)模型中。JFrog單獨(dú)發(fā)現(xiàn)了100多個(gè)能執(zhí)行任意代碼的模型。ClawHub那邊更夸張：341個(gè)惡意技能被植入，專門偷憑證、開后門、劫持AIagent去挖礦。

攻擊手法叫"nullifAI"，鉆的是Python pickle序列化格式的空子——這是打包機(jī)器學(xué)習(xí)模型的標(biāo)準(zhǔn)方式。攻擊者把惡意代碼塞在pickle字節(jié)流開頭，再用7z壓縮而非默認(rèn)的ZIP格式，直接繞過Hugging Face的PickleScan檢測(cè)工具。

payload毫不掩飾：反向shell連到硬編碼IP，直接接管你的機(jī)器；偷環(huán)境變量里的密鑰；下載二級(jí)木馬。開發(fā)者以為下的是正經(jīng)模型，實(shí)際上是把電腦鑰匙交給了陌生人。

Hugging Face不是沒反應(yīng)。2024年安全公司JFrog和ReversingLabs就報(bào)告過后門模型，平臺(tái)也跟JFrog、Wiz合作改進(jìn)掃描，JFrog的集成把誤報(bào)率壓低了96%。但問題在于：開放架構(gòu)既是這個(gè)社區(qū)的核心價(jià)值，也是致命軟肋。你沒法既讓所有人自由上傳，又保證每個(gè)文件都干凈。

諷刺的是，這套基礎(chǔ)設(shè)施本來是為了加速AI開發(fā)建的。現(xiàn)在它成了搞破壞的高速通道。攻擊者吃準(zhǔn)了一點(diǎn)：開發(fā)者對(duì)共享倉庫有默認(rèn)信任，而這份信任正在被批量變現(xiàn)。