Groźna kampania Load Mine: modele AI na Hugging Face kopią krypto

Firma Pluto Security ujawniła 29 października 2026 roku szczegóły nowej kampanii kryptominingowej, nazwanej Load Mine, która celuje w użytkowników popularnej platformy z modelami AI, Hugging Face. Atakujący wykorzystują legalną funkcję biblioteki do ładowania modeli, aby bez wiedzy ofiar zamieniać ich komputery w koparki kryptowalut.

Niewidzialne zagrożenie w zaufanym kodzie

Sercem ataku jest mechanizm w bibliotece Hugging Face, który pozwala na uruchomienie dowolnego kodu w języku Python podczas ładowania modelu. Dzieje się tak, gdy użytkownik aktywuje opcję trust_remote_code=True. Funkcja ta została stworzona z myślą o elastyczności i możliwości ładowania niestandardowych architektur modeli, jednak cyberprzestępcy znaleźli w niej furtkę do realizacji swoich celów.

Kampania Load Mine jest wyjątkowo podstępna, ponieważ nie wykorzystuje żadnej luki w zabezpieczeniach ani exploita w tradycyjnym rozumieniu. Opiera się na funkcji, która działa dokładnie tak, jak została zaprojektowana.

W rezultacie złośliwa aktywność pozostaje niewykryta przez standardowe oprogramowanie zabezpieczające. Jak donoszą badacze, wszystkie skanery antywirusowe zwracają wynik „czysty”, nie widząc w działaniu biblioteki niczego podejrzanego.

Jak dochodzi do infekcji?

Podczas ładowania modelu ze zdalnego repozytorium istnieją trzy główne drogi, którymi może zostać wykonany złośliwy kod. Kampania Load Mine wykorzystuje ostatnią z nich, która jest najtrudniejsza do wykrycia bez analizy samego kodu modelu.

• Parser formatu binarnego: Kod może być uruchomiony podczas analizy plików binarnych, takich jak te w formacie GGUF.
• Formaty serializacji: Niebezpieczne formaty takie jak pickle, Keras czy SavedModel mogą zawierać instrukcje, które wykonają się podczas deserializacji obiektu.
• Ścieżka importu Pythona: To właśnie tę metodę wykorzystuje kampania Load Mine. Dzięki opcji trust_remote_code=True biblioteka importuje i uruchamia kod Pythona dołączony do modelu, co w tym przypadku aktywuje skrypt do wydobywania kryptowalut.

Objawy infekcji i jak chronić swój komputer

Złośliwe oprogramowanie typu coinminer może działać na wielu platformach, w tym Windows, macOS, Linux, Android, a nawet na urządzeniach Internetu Rzeczy (IoT). Jego obecność zdradzają nietypowe objawy, które powinny wzbudzić czujność użytkownika. Wiedza o tym, jak chronić komputer przed kampanią kryptominingową Load Mine na platformie Hugging Face w 2026 roku, sprowadza się przede wszystkim do świadomego korzystania z narzędzi AI i monitorowania zasobów systemowych.

Główne symptomy wskazujące na infekcję kryptominerem to:

• Wysokie użycie CPU i/lub GPU: Komputer pracuje na pełnych obrotach nawet bez uruchomionych wymagających aplikacji.
• Przegrzewanie się: Zwiększona temperatura podzespołów i głośna praca wentylatorów.
• Spowolnienie systemu: System operacyjny i programy reagują z opóźnieniem.
• Awarie i restarty: Niestabilna praca komputera prowadząca do nagłych zamknięć systemu.
• Nietypowa aktywność sieciowa: Monitorowanie ruchu sieciowego może ujawnić połączenia z podejrzanymi adresami powiązanymi z pulami wydobywczymi, takimi jak xmrpool.net czy nanopool.org.

Rozwiązania takie jak Symantec Endpoint Protection mogą podnosić alarmy w przypadku wykrycia plików powiązanych z miningiem, co pozwala administratorom na szybką reakcję. Jednak w przypadku kampanii Load Mine kluczowa jest ostrożność przy korzystaniu z opcji ładowania kodu ze zdalnych, niezaufanych źródeł.

Źródła

Pluto Security ujawnia szczegóły kampanii kryptominingowej Load/Mine na Hugging Face, Unite.AI, 2026. https://www.unite.ai/pl/pluto-security-details-load-mine-cryptomining-campaign-on-hugging-face/

Pluto Security warns of cryptomining campaign on AI platform Hugging Face, The Next Web, 2026. https://thenextweb.com/news/pluto-security-hugging-face-trust-remote-code-cryptominer

Coinminer protection and removal with Endpoint Protection, Broadcom Knowledge, 2026. https://knowledge.broadcom.com/external/article/171029/coinminer-protection-and-removal-with-en.html

Threat Brief: Browser-Based Cryptocurrency Mining, Palo Alto Networks, 2026. https://www.paloaltonetworks.com/cyberpedia/threat-brief-browser-cryptocurrency-mining