那天清晨，當你睜開眼睛，泡一杯熱騰騰的咖啡，準備開始一天的工作。你不會想到，在地球的另一端，有人正精心佈置一場完美的陷阱，等待著像你這樣的開發者踏入。
這不是一部間諜電影的情節。這是發生在2024年4月的真實故事——一個偽裝成 OpenAI 官方專案的惡意軟體倉庫，在 Hugging Face 上席捲了將近二十五萬次的下載，然後像優雅的魔術師一樣，在你的電腦裡悄悄種下了一顆會吞食所有秘密的種子。
一場精心策劃的誘惑
一切從一個看似普通的宣佈開始。OpenAI 在四月底發布了「隱私過濾器」(Privacy Filter)——一個開源的小型模型，專門用來自動偵測並塗抹文字中的個人識別資訊。對於每天處理大量資料的開發者來說，這簡直是天上掉下來的禮物。
它被放在 Hugging Face 上，用的是 Apache 2.0 授權——這種開放許可證讓任何人都能自由使用、修改，甚至商業化。開發者社群瞬間轟動，大家紛紛在論壇上討論：「終於有人做出這個了！」
但就在這個時候，一個叫「Open-OSS」的帳號悄然出現。他們發布了一個名為「privacy-filter」的倉庫，看起來幾乎一模一樣——模型說明檔案是直接複製貼上，就連錯字都懶得改。只有一個微小的不同：在說明檔案裡，他們「好心地」提供了啟動指令碼——Windows 使用者執行 start.bat，Linux 和 Mac 使用者執行 loader.py。
這就像是你在夜市裡看到一個攤位賣的是和知名手搖飲店完全一樣的包裝，價格卻只要一半。你會不會買？大多數人會。
被操控的 Trendings
接下來的事情發展得讓人們目不暇接。這個倉庫在短短18小時內就登上了 Hugging Face 熱門榜第一名。約有244,000次下載，667個喜歡。
聽起來很厲害，對吧？但 HiddenLayer，這家專門分析 AI 安全問題的公司，發現了一個驚人的事實：這667個喜歡中，有657個帳號的名字都有規律可循——像是「user_12345」、「account_98765」這種可以預測的機器人命名模式。
下載數量幾乎肯定是用水軍灌水上去的。這是一種古老的網路行銷手法——製造假的社群證明，讓誘餌看起來像真的。
你可以想像那個畫面：一個精心打扮的陷阱，外表包裝得如此完美，讓你忍不住想靠近一點。你可以說它是「糖衣毒藥」——外包裝甜美可口，裡面卻是致命的毒藥。
當善意變成武器
讓我們聊聊那個 loader.py 指令碼。它一開啟，你會看到什麼呢？假假的模型訓練輸出——進度條、合成資料集、虛假的類別名稱。這一切都是為了讓你相信：啊，這真的在運作耶。
但在表面之下，它悄悄關閉了安全檢查，從一個公開的 JSON 貼板網站拉下了一串編碼後的命令。這是個聰明的技巧——他們不需要更新倉庫本身，當_payload_（負荷_）改變時，只要改那個遠端伺服器就可以了。
然後，這個命令被傳給在背景中靜默運作的 PowerShell。Windows 使用者什麼都看不到。他們以為指令碼還在繼續「訓練模型」，但實際上，一隻無形的爪子已經伸進了他們的系統。
那個命令會下載第二個指令碼——從一個模仿區塊鏈分析 API 的網域。那個指令碼會下載真正的惡意軟體——一個用 Rust 寫成的客製化_間諜程式_（infostealer）。然後，它把這個軟體加入到 Windows Defender 的排除清單中，用系統許可權啟動一個排程任務——那個任務在執行完後立刻自我了斷。整個流程像幽靈一樣來去自如，幾乎不留下任何痕跡。
一場沒有回頭路的掠奪
這個最終的 payload 極度徹底。它會抓取 Chrome 和 Firefox 中儲存的所有東西——已儲存的密碼、session cookies、瀏覽記錄、加密金鑰，所有。
它還會針對 Discord 帳號、加密貨幣錢包的助記詞、SSH 金鑰、FTP 憑證進行掃描，然後對所有螢幕進行截圖。它把所有東西壓縮成一個 JSON 套件，送到攻擊者控制的伺服器。
我們不需要告訴你，駭客後來會用這些資訊做什麼。你應該可以想像。
更可怕的是，這個惡意軟體會檢查它是否執行在虛擬機器或安全沙箱中。如果檢測到，它會安靜地離職——不留下任何痕跡。它的設計只會在真實目標上執行一次，偷走所有東西，然後消失。
這不是單一事件
這是一種模式。HiddenLayer 還發現了另外六個倉庫，由另一個名為「anthfu」的 Hugging Face 帳號發布，同樣在四月底使用了相同的惡意 loader，指向同一個指令伺服器。
那些倉庫冒充了 Qwen3、DeepSeek、Bonsai 等模型，來引誘 AI 開發者。一個名為 api.eth-fastfastscan.org 的網域也被發現託管了另一個會向指令伺服器打「招呼」的惡意樣本。HiddenLayer 認為這兩個活動之間「可能有連結」，但也提醒說，共享的基礎設施本身並不能確認單一營運者。
這就是對 AI 開發者社群的供應鏈攻擊。攻擊者不需要破解 OpenAI 或 Hugging Face。他們只需要發布一個令人信服的冒牌貨，用機器人玩轉熱門演演算法，然後等開發者自己上鉤。
這不是第一次。2024年，Lottie Player JavaScript 函式庫也遭遇了類似的攻擊。一位受害者因此損失了10顆比特幣——那時價值超過七十萬美元。
如果這就是你
如果你在 Windows 機器上Clone 了 Open-OSS/privacy-filter 並執行了任何檔案，你應該把這臺裝置視為完全被入侵。不要在任何東西上登入任何帳號——先徹底清除系統。
然後，更改所有儲存在瀏覽器中的憑證——密碼、session cookies、OAuth tokens。把任何加密貨幣資金轉移到一個在新裝置上生成的新錢包，並假設助記詞已經被盜。
因為它也取得了你的 Discord 資訊，而且那個服務高度自動化，你應該廢除你的 Discord sessions 並重設那個密碼。任何 SSH 金鑰或 FTP 憑證都應該被視為燒毀。
那個倉庫現在已經被剔除了。Huggingface 沒有透露他們計劃實施什麼額外的熱門倉庫審查措施。截至目前，這個活動中已確認有七個惡意倉庫存在。還有多少存在——或在被發現之前就存在過——仍然是個謎。
後記：數位時代的荒野
我想起我在冰島旅行的時候，一個人開車穿過無人區。手機沒有訊號，四周只有無盡的苔蘚和風。那種孤獨感，與開發者面對這些看不見的威脅時的無助感，是如此相似。
我們是數位時代的開拓者，我們帶著善意來到這個開放的、開源的世界，我們相信程式碼會讓世界變得更好。但有時候，這片荒野並不如我們想像的那麼安全。
下一次，當你看到一個看似完美的倉庫，當你想都不想就Clone下來執行的時候——請記得這個故事。請記得，那杯早晨的咖啡，曾經差點變成毒藥。
保持警惕。保持懷疑。保持善良——但也要學會保護自己。
🔍 相關標籤
#資安 #OpenAI #HuggingFace #惡意軟體 #開發者 #開源 #駭客 #密碼盜竊 #AI安全 #供應鏈攻擊
