虛假的 OpenAI Hugging Face 專案是如何偷偷拐走你的密碼？

當你在 Hugging Face 上看到一個標榜「OpenAI 官方隱私過濾器」的模型，腦中可能閃過「終於有正規的工具可以幫我脫敏」的想法。然而，在那層看似不起眼的說明檔案背後，藏著一道無形的深淵，裡面有雙看不見的手，正將你辛苦累積的密碼、區塊鏈錢包的種子短語、甚至 SSH 金鑰一點不漏地抽走。這不是科幻電影裡的駭客場景，這是一場真實的供應鏈陷阱。

2024 年四月，OpenAI 低調發布了 Privacy Filter——一個輕量的開源模型，旨在自動辨識並移除文字中的個人識別資訊。該模型以 Apache 2.0 授權上架 Hugging Face，立即吸引了大批開發者下載。你在論壇、Discord、Twitter 上到處可見「終於有官方的隱私過濾器」的討論，開發者們如獲至寶，彷彿為自己的專案鍍上一層防護的金屬。

但就在官方 repo 上線區區兩天後，GitHub 出現了一個名為 Open-OSS 的帳號，上傳了一個幾乎一模一樣的 repository——同樣的模型卡片、同樣的 README，唯一不同的，是作者在說明裡「貼心地」加了兩行指令：Windows 使用者請執行 start.bat，Linux / macOS 請執行 loader.py。這看似普通的安全軟體指令碼，實際上是一顆偽裝成糖果的毒藥。

這顆「毒藥」在上架僅 18 小時後，一舉衝上 Hugging Face 趨勢榜首，累積約 24.4 萬次下載、667 個喜歡。HiddenLayer 這家 AI 安全公司很快發現，667 個喜歡中有 659 個是 Bots，帳號命名規律從「bot‑001」到「bot‑999」一路排開——簡直是機器人的軍團。流量被徹底操作，社交證明被人工鍍金，讓這一切看起來像是「大家都在用」的熱門專案。

當你依照指示執行 loader.py 時，指令碼會先播放一段假模型訓練的虛擬輸出：進度條、Synthetic Dataset、假類別名稱，讓你以為模型正在跑。然而在背後，它悄悄關閉了系統的安全檢查，接著從一個公開的 JSON paste 網站下載一串編碼過的指令——這招聰明在於：不需要更新 repo，只要改 paste，就能在幕後更換 payload。指令被傳給隱藏在背景的 PowerShell，Windows 使用者完全看不到任何彈出視窗。

PowerShell 拿到指令後，會連上另一個假冒區塊鏈分析 API 的網域，下載第二層指令碼。該指令碼會把一個用 Rust 編寫的客製化資訊竊取木馬注入系統，甚至把自身加入 Windows Defender 的排除清單，利用排程工作在 SYSTEM 許可權下啟動，完成後立馬把自己刪除——整條鏈子像幽靈一樣消散，留下的只有被竊走的資料。

最終的 payload 可謂全方位：它會撈取 Chrome 與 Firefox 中儲存的所有密碼、工作階段 Cookie、瀏覽紀錄、加密金鑰；對 Discord 帳號、加密貨幣錢包的種子短語、SSH 金鑰、FTP 帳號更是毫不放過；甚至會在所有螢幕上錄製截圖，最後把所有資料壓縮成一個 JSON 包，主動送到攻擊者掌控的伺服器。這相當於把你的「數位身份」全部交到對方手中。

木馬還會檢測是否執行在虛擬機器或安全沙盒中，若發現是VM會立刻退出——這是專門針對真實目標設計的「一次性」間諜軟體，只在真正的受害者機器上執行一次，隨後徹底蒸發。

這不是單一事件。HiddenLayer 後續又找到了六個同屬 anthfu 帳號的假冒模型-repo，這些 models 分別假冒 Qwen3、DeepSeek、Bonsai 等熱門模型，同樣使用相同的 loader。使用的網域 api.eth-fastscan.org 甚至有另一個樣本在監視命令伺服器。安全公司認為這兩波攻擊「可能出自同一組織」——共享基礎設施本身就是一個警訊。

如果你在 Windows 上執行過這個 repository，請立即把該裝置視為已完全被滲透。先別登入任何帳號，先把作業系統重新格式化，確保所有資料被覆蓋；然後把瀏覽器裡儲存的所有密碼、工作階段、OAuth token 全部換掉；若涉及加密貨幣，請把你的錢包移到全新的錢包（在新乾淨的裝置上產生的），並假設種子短語已經外洩，立刻把舊錢包的資產轉走；同時，Discord 也要重新登出並更換密碼，因為攻擊者同樣會把你的 Token 帶走；任何 SSH 金鑰、FTP 帳號都要重新生成。若你同時在智慧型手機上使用此模型提供的外掛，也請在行動裝置上檢查是否有異常行為。

截至目前，該惡意 repository 已被下架，但 Hugging Face 仍沒有公開說明是否會對趨勢排行榜加入更嚴格的審查。現在已確認七個惡意 repo，至於還有多少潛伏在陰影中，沒有人敢保證。這正是所謂的「供應鏈攻擊」——攻擊者不必破解 OpenAI 或 Hugging Face，只要偽裝成可信的開源專案、利用機器人衝高流量，就能讓開發者自願把「毒糖」吞下。2024 年 Lottie Player 類似的手法，曾讓一位受害者瞬間失去 10 顆比特幣，當時價值超過七十萬美元。

結論是：當你下次在 Hugging Face、GitHub 或任何開源平臺上看到「官方」二字的模型時，千萬別急著下載，先檢查作者帳號的歷史、研究 readme 是否被複製貼上、甚至在沙盒裡先跑一次虛擬機器。否則，你以為自己在打造安全的 AI 系統，實際上卻在為駭客開「提款機」的門。保持懷疑，保持警戒，別讓自己的努力，成為別人的暗黑收益。