假 OpenAI 开源模型登 Hugging Face 冠军！24 万次下载暗藏恶意软件

网络安全公司 HiddenLayer 揭露，一款假冒 OpenAI Privacy Filter 的恶意模型在 Hugging Face 上仅 18 小时即冲上热门榜冠军，吸引逾 24 万次下载，背后隐藏六阶段 Rust 信息窃取器，专门锁定浏览器密码、加密货币钱包助记词与 SSH 密钥。
（前情提要：WSJ：Google 密会 SpaceX 洽谈推进「轨道 AI 数据中心」，马斯克百万卫星大军迎史诗级 IPO）
（背景补充：AI 安全新创 Depthfirst 宣布击败 Anthropic 模型 Mythos！揪出 NGINX 潜伏 18 年史诗漏洞、抓漏成本仅 1/10）

本文目录

切换

• 18 小时冲上热门榜首，近九成点赞来自机器人账号
• 六阶段攻击链：从假训练画面到系统级权限窃取
• 锁定 Chrome/Firefox、Discord、加密货币钱包
• 不是单一事件：至少七个恶意仓库已被识别
• 如果你下载了怎么办？

OpenAI 四月底推出开源模型 Privacy Filter——一款轻量级、可自动侦测并遮罩文字中个人识别信息（PII）的模型，并在 Hugging Face 上以 Apache 2.0 授权发布，迅速吸引大量开发者目光。然而，这股热潮也引来了不速之客。

安全公司 HiddenLayer 揭露，一名为「Open-OSS」的假账号在 Hugging Face 上发布了几乎一模一样的仓库，名称同样叫做 privacy-filter，模型卡片逐字抄袭 OpenAI 官方版本。唯一的差别藏在 readme 文件里——它引导使用者下载后执行 start.bat（Windows）或 loader.py（Linux/Mac）。

18 小时冲上热门榜首，近九成点赞来自机器人账号

这个假仓库在短短 18 小时内就攻上 Hugging Face 热门排行榜第一名，累计约 244,000 次下载与 667 个赞。HiddenLayer 追踪发现，其中 657 个赞来自符合自动化机器人命名模式的账号——换句话说，超过 98% 的社交信号是伪造的。下载数也很可能以相同手法灌水，营造出人气爆棚的假象，诱使真正的开发者上钩。

六阶段攻击链：从假训练画面到系统级权限窃取

这套恶意软件的设计相当巧妙。《loader.py》执行时先展示伪造的模型训练输出——进度条、合成资料集、虚拟类别名称——看起来就像一个真实的 AI 载入器正在执行。但在后台中，它悄悄关闭安全检测，从公开 JSON 帖子网站拉取一段编码指令，传递给隐藏执行的 PowerShell。

该指令从冒充区块链分析 API 的域名（api.eth-fastscan.org）下载第二支指令码，再由这支指令码下载真正的恶意载荷——一款以 Rust 语言编写的定制信息窃取器。它自动将自己加入 Windows Defender 排除清单，并以 SYSTEM 权限通过计划任务启动，该计划任务执行后立即自我删除，几乎不留痕迹。

锁定 Chrome/Firefox、Discord、加密货币钱包

这款信息窃取器可以说是「一个都不放过」。它获取 Chrome 和 Firefox 中存储的所有资料——密码、登录 Session Cookie、浏览记录、加密密钥；瞄准 Discord 账号、加密货币钱包助记词（Seed Phrase）、SSH 密钥、FTP 凭证；并且会在所有屏幕上截图。最后将所有资料打包成压缩 JSON 束，传送到攻击者控制的服务器。

更狡猾的是，这款恶意软件还会侦测自己是否在虚拟机或安全沙箱环境中执行，若发现就默默退出。它的设计是一次性攻击真实目标、偷光一切后消失无踪。

不是单一事件：至少七个恶意仓库已被识别

HiddenLayer 指出，这并非孤立事件。他们在同一指令服务器下，发现另一个名为「anthfu」的 Hugging Face 账号上还有六个使用完全相同恶意载入器的仓库，上架于四月底，假冒的模型包括 Qwen3、DeepSeek 和 Bonsai，同样以 AI 开发者为目标。

攻击者不入侵 OpenAI 或 Hugging Face 本身，而是发布逼真的山寨版、用机器人刷热门排行，再等待开发者自行下载执行。这套剧本在 2024 年的 LottiePlayer JavaScript 库供应链攻击中曾经上演，当时导致一名用户损失 10 枚比特币（当时价值逾 70 万美元）。

该假仓库目前已被 Hugging Face 下架，但截至发稿，平台方尚未公布任何新的热门仓库审查机制。目前已知的恶意仓库共计七个，还有多少个未被发现或已自行删除，仍是未知数。

如果你下载了怎么办？

安全专家建议，若曾在 Windows 机器上复制 Open-OSS/privacy-filter 并执行其中任何文件，应将该设备视为已完全陷入——在清除前不要从那台电脑登录任何服务。接着变更浏览器中存储的所有凭证，并在干净设备上生成新钱包、立即转移加密货币资产。Discord 会话需强制失效并重设密码，SSH 密钥与 FTP 凭证也应视为外泄处理。