مستودع OpenAI المزيف يحتل المركز الأول على Hugging Face—وسرق كلمات المرور أثناء تصدره للترند

باختصار

• وصل مستودع مزيف على منصة هاجنغ فيس يُحاكي نموذج فلتر الخصوصية الخاص بـ OpenAI إلى المرتبة الأولى في الاتجاهات.
• سجل البرمجية الخبيثة حوالي 244,000 عملية تنزيل و667 إعجاب خلال أقل من 18 ساعة قبل إزالته.
• قدم المستودع أداة سرقة معلومات من ست مراحل جمعت كلمات مرور المتصفحات، رموز ديسكورد، مفاتيح محافظ العملات الرقمية، وبيانات اعتماد SSH من أجهزة ويندوز—ثم أرسل كل شيء بصمت إلى خوادم يتحكم بها المهاجم.

أطلقت OpenAI نموذج فلتر الخصوصية في أواخر أبريل—نموذج صغير مفتوح الوزن مصمم للكشف عن وإخفاء المعلومات الشخصية بشكل تلقائي من النصوص. تم نشره على هاجنغ فيس بموجب ترخيص أباتشي 2.0 وجذب بسرعة اهتمام المطورين. لاحظ أحدهم ذلك. خلال أيام، نشر حساب مزيف باسم “Open-OSS” مستودعًا مطابقًا تقريبًا يُدعى privacy-filter. تم نسخ بطاقة النموذج حرفيًا من OpenAI. الاختلاف الوحيد في ملف “readme”: تعليمات لاستنساخ المستودع وتشغيل ملف يُدعى start.bat على ويندوز، أو loader.py على لينكس وماك. خلال 18 ساعة، وصل المستودع المزيف إلى المرتبة الأولى في صفحة الاتجاهات على هاجنغ فيس—حصل على حوالي 244,000 عملية تنزيل و667 إعجاب. وجدت شركة الأمن السيبراني HiddenLayer التي أبلغت عن الحملة أن 657 من تلك الإعجابات جاءت من حسابات تتطابق مع أنماط أسماء بوتات متوقعة ومولدة تلقائيًا.

من المحتمل أن تكون أرقام التنزيل قد تم تضخيمها بنفس الطريقة. إثبات اجتماعي مصطنع لجعل الطُعم يبدو حقيقيًا. كيف عملت البرمجية الخبيثة فعليًا عملت البرمجية الخبيثة بشكل أساسي كحبوب مسممة مغلفة بطبقة لذيذة جدًا من الحلوى المقنعة. يبدأ سكربت loader.py بمخرجات تدريب نموذج مزيفة—أشرطة تقدم، مجموعات بيانات صناعية، أسماء فئات وهمية—مصممة لتبدو كأنها محمل ذكاء اصطناعي حقيقي يعمل. تحت الغطاء، يعطل بشكل هادئ فحوصات الأمان، يسحب أمر مشفر من موقع JSON عام (حيلة ذكية: لا حاجة لتحديث المستودع عند تغيير الحمولة)، ويمرر ذلك الأمر إلى PowerShell يعمل بشكل مخفي تمامًا في الخلفية. لا يرى مستخدمو ويندوز شيئًا. 

يقوم الأمر بتنزيل سكربت ثاني من نطاق يُحاكي واجهة برمجة تطبيقات تحليلات البلوكتشين. هذا السكربت ينزل البرمجية الخبيثة الحقيقية—وهي أداة سرقة معلومات مخصصة مكتوبة بلغة Rust—ويضيفها إلى قائمة استثناءات Windows Defender، ثم يطلقها بصلاحيات SYSTEM عبر مهمة مجدولة تُحذف تلقائيًا بعد التنفيذ مباشرة. تعمل السلسلة بأكملها وتقوم بتنظيف نفسها، تاركة أدلة قليلة جدًا. الحمولة النهائية شاملة. تلتقط كل شيء مخزن في Chrome و Firefox—كلمات المرور المحفوظة، ملفات تعريف الارتباط للجلسة، سجل التصفح، مفاتيح التشفير، وكل شيء. تستهدف حسابات ديسكورد، عبارات بذور محافظ العملات الرقمية، مفاتيح SSH، بيانات اعتماد FTP، وتأخذ لقطات شاشة عبر جميع الشاشات. ثم تعبئ كل شيء في حزمة JSON مضغوطة وترسلها إلى خوادم يتحكم بها المهاجم. لا حاجة لأن نخبرك بما يمكن للمهاجمين فعله بهذه المعلومات لاحقًا. كما تتحقق البرمجية الخبيثة مما إذا كانت تعمل في آلة افتراضية أو صندوق أمان، وتغادر بصمت إذا اكتشفت وجود واحد. مصممة للعمل مرة واحدة على الأهداف الحقيقية، سرقة كل شيء، ثم الاختفاء. لماذا هذا أكبر من مجرد مستودع واحد هذه ليست حادثة معزولة. إنها جزء من نمط. حددت شركة HiddenLayer ستة مستودعات إضافية تحت حساب هاجنغ فيس منفصل يُدعى “anthfu”، تم رفعها في أواخر أبريل، باستخدام نفس محمل البرمجية الخبيثة الذي يشير إلى نفس خادم الأوامر. تلك المستودعات كانت تحاكي نماذج مثل Qwen3، DeepSeek، وBonsai لجذب مطوري الذكاء الاصطناعي. البنية التحتية نفسها—نطاق يُدعى api.eth-fastscan.org—تمت ملاحظته أيضًا وهو يستضيف عينة برمجية خبيثة تتصل بخادم أوامر. تعتقد شركة HiddenLayer أن الصلة بين الحملتين “مرتبطة ربما” وتحذر من أن البنية التحتية المشتركة وحدها لا تؤكد وجود مشغل واحد. هذه هي صورة هجوم سلسلة التوريد على مجتمع مطوري الذكاء الاصطناعي. المهاجم لا يخترق OpenAI أو هاجنغ فيس. فقط ينشر نسخة مقنعة، ويخدع خوارزمية الاتجاهات باستخدام بوتات، وينتظر أن يقوم المطورون بالباقي. استخدموا نفس الأسلوب في 2024 على مكتبة جافا سكريبت Lottie Player، مما كلف مستخدمًا واحدًا 10 بيتكوين (تجاوزت قيمتها 700,000 دولار آنذاك). ماذا لو قمت بتنزيله؟ إذا قمت باستنساخ Open-OSS/privacy-filter على جهاز ويندوز وتشغيل أي ملف منه، يجب أن تعتبر الجهاز مخترقًا بالكامل. لا تسجل الدخول إلى أي شيء من ذلك الجهاز قبل مسحه بالكامل.

بعد ذلك، غيّر جميع بيانات الاعتماد المخزنة في متصفحك—كلمات المرور، ملفات تعريف الارتباط للجلسة، رموز OAuth. حوّل أي أموال رقمية إلى محفظة جديدة تم إنشاؤها على جهاز نظيف في أسرع وقت ممكن واعتبر أن عبارات البذور قد سُرقت. نظرًا لأنه يحصل أيضًا على معلومات ديسكورد الخاصة بك، وبما أن الخدمة مؤتمتة بشكل كبير، يجب إلغاء جلسات ديسكورد الخاصة بك وإعادة تعيين كلمة المرور. أي مفاتيح SSH أو بيانات اعتماد FTP على ذلك الجهاز يجب اعتبارها مُحترقة. تمت إزالة المستودع الآن. لم تكشف هاجنغ فيس عن التدابير الإضافية التي تخطط لتنفيذها للمستودعات الرائجة، إن وجدت. حتى الآن، تم تحديد سبعة مستودعات خبيثة مؤكدة من هذه الحملة. يبقى غير معروف كم منها لا يزال موجودًا—أو كان موجودًا قبل أن يتم اكتشافه.