Vrai modèle open source d'OpenAI en tête sur Hugging Face ! 240 000 téléchargements dissimulant des logiciels malveillants

Réseau de sécurité informatique HiddenLayer révèle qu’un modèle malveillant, prétendant être le filtre de confidentialité d’OpenAI, a atteint le sommet des tendances sur Hugging Face en seulement 18 heures, avec plus de 240 000 téléchargements, dissimulant un enregistreur d’informations en six étapes, ciblant les mots de passe de navigateur, les phrases mnémoniques de portefeuilles cryptographiques et les clés SSH.
(Précédent : WSJ : Google en réunion secrète avec SpaceX pour faire avancer le « centre de données AI orbital », la flotte de satellites de Musk en IPO épique)
(Contexte supplémentaire : La startup de sécurité AI Depthfirst annonce avoir battu le modèle Mythos d’Anthropic ! Découverte d’une vulnérabilité épique dans NGINX, présente depuis 18 ans, coût de détection seulement 1/10)

Table des matières de cet article

Toggle

• 18 heures pour atteindre le sommet, près de 90 % des likes proviennent de comptes bot
• Chaîne d’attaque en six étapes : de fausses images d’entraînement à l’obtention de permissions système
• Ciblant Chrome/Firefox, Discord, portefeuilles cryptographiques
• Pas un incident isolé : au moins sept dépôts malveillants ont été identifiés
• Que faire si vous avez téléchargé ?

Au dernier trimestre d’avril, OpenAI a lancé un modèle open source appelé Privacy Filter — un modèle léger capable de détecter et de masquer automatiquement les informations personnelles identifiables (PII) dans le texte, publié sous licence Apache 2.0 sur Hugging Face, attirant rapidement l’attention de nombreux développeurs. Cependant, cette vague a aussi attiré des intrus.

La société de cybersécurité HiddenLayer a révélé qu’un faux compte nommé « Open-OSS » a publié sur Hugging Face un dépôt presque identique, portant le même nom privacy-filter, avec une fiche modèle copiant mot à mot la version officielle d’OpenAI. La seule différence résidait dans le fichier readme — il guidait l’utilisateur à télécharger puis exécuter start.bat (Windows) ou loader.py (Linux/Mac).

18 heures pour atteindre le sommet, près de 90 % des likes proviennent de comptes bot

Ce faux dépôt a atteint la première place du classement des tendances sur Hugging Face en seulement 18 heures, avec environ 244 000 téléchargements et 667 likes. HiddenLayer a détecté que 657 de ces likes provenaient de comptes correspondant à un modèle automatisé — autrement dit, plus de 98 % des signaux sociaux étaient faux. Le nombre de téléchargements était probablement gonflé de la même manière, créant une fausse impression de popularité pour attirer de vrais développeurs.

Chaîne d’attaque en six étapes : de fausses images d’entraînement à l’obtention de permissions système

Ce logiciel malveillant est conçu avec une grande sophistication. Lors de l’exécution de « loader.py », il affiche d’abord une sortie simulée d’entraînement du modèle — barre de progression, jeu de données synthétique, noms de classes virtuelles — donnant l’impression qu’un vrai chargeur AI est en cours d’exécution. Mais en arrière-plan, il désactive discrètement la détection de sécurité, télécharge une instruction encodée depuis un site de posts JSON publics, puis la transmet à PowerShell caché.

Cette instruction télécharge un second script depuis un domaine prétendant être une API d’analyse blockchain (api.eth-fastscan.org), puis ce script télécharge le véritable payload malveillant — un enregistreur d’informations personnalisé écrit en Rust. Il s’ajoute automatiquement à la liste d’exclusions de Windows Defender, s’exécute avec des permissions SYSTEM via une tâche planifiée, qui se supprime elle-même immédiatement après exécution, laissant peu de traces.

Ciblant Chrome/Firefox, Discord, portefeuilles cryptographiques

Ce keylogger est « tout-terrain ». Il extrait toutes les données stockées dans Chrome et Firefox — mots de passe, cookies de session, historique de navigation, clés cryptographiques ; cible aussi les comptes Discord, les phrases mnémoniques de portefeuilles crypto (Seed Phrase), clés SSH, certificats FTP ; et prend des captures d’écran de tous les écrans. Enfin, il compresse toutes ces données dans un fichier JSON, puis les envoie à un serveur contrôlé par l’attaquant.

Plus rusé encore, ce logiciel malveillant détecte s’il fonctionne dans une machine virtuelle ou un environnement sandbox sécurisé, et quitte silencieusement si c’est le cas. Son objectif est une attaque unique, visant une cible réelle, volant tout puis disparaissant sans laisser de traces.

Pas un incident isolé : au moins sept dépôts malveillants ont été identifiés

HiddenLayer indique que ce n’est pas un cas isolé. Sur le même serveur de commandes, ils ont trouvé un autre dépôt sur Hugging Face, sous le compte « anthfu », contenant six autres dépôts utilisant le même chargeur malveillant, uploadés fin avril. Les modèles falsifiés incluaient Qwen3, DeepSeek et Bonsai, tous ciblant également les développeurs AI.

Les attaquants n’infiltrent pas directement OpenAI ou Hugging Face, mais publient des versions contrefaites crédibles, utilisent des bots pour faire monter la popularité, puis attendent que les développeurs téléchargent et exécutent. Ce scénario s’est déjà produit en 2024 lors d’une attaque de chaîne d’approvisionnement sur la bibliothèque JavaScript LottiePlayer, qui a coûté à un utilisateur 10 bitcoins (valeur à l’époque supérieure à 700 000 dollars).

Ce faux dépôt a été retiré de Hugging Face, mais à la publication de cet article, la plateforme n’a pas encore annoncé de nouveau mécanisme de revue pour les dépôts populaires. Au total, sept dépôts malveillants ont été identifiés, mais combien restent encore inconnus ou ont été supprimés par leurs auteurs.

Que faire si vous avez téléchargé ?

Les experts en cybersécurité recommandent que si vous avez copié Open-OSS/privacy-filter sur un Windows et exécuté un quelconque fichier, votre machine doit être considérée comme entièrement compromise — ne pas se connecter à aucun service avant de la nettoyer. Ensuite, changez tous les identifiants stockés dans votre navigateur, générez un nouveau portefeuille sur une machine saine, et transférez immédiatement vos actifs cryptographiques. Les sessions Discord doivent être invalidées et les mots de passe réinitialisés, et les clés SSH ou certificats FTP doivent être considérés comme compromis.