周三下午，一位數(shù)據(jù)科學(xué)家下載了一個看起來再普通不過的圖像識別模型。三分鐘后，他的電腦開始瘋狂發(fā)熱——不是因為訓(xùn)練任務(wù)，而是有人在用他的顯卡挖加密貨幣。

這不是孤例。Hugging Face和ClawHub，AI行業(yè)最大的兩個模型與智能體技能倉庫，已經(jīng)被系統(tǒng)性滲透。前者托管著全球幾乎所有AI公司都在用的百萬級機器學(xué)習(xí)模型，后者是OpenClaw智能體技能的公共注冊中心。它們現(xiàn)在成了攻擊者的游樂場。

Protect AI與Hugging Face合作掃描了超過400萬個模型，發(fā)現(xiàn)約35.2萬個不安全或可疑問題，分布在5.17萬個模型中。JFrog單獨發(fā)現(xiàn)了100多個能執(zhí)行任意代碼的模型。ClawHub那邊更夸張：341個惡意技能被植入，專門偷憑證、開后門、劫持AIagent去挖礦。

攻擊手法叫"nullifAI"，鉆的是Python pickle序列化格式的空子——這是打包機器學(xué)習(xí)模型的標準方式。攻擊者把惡意代碼塞在pickle字節(jié)流開頭，再用7z壓縮而非默認的ZIP格式，直接繞過Hugging Face的PickleScan檢測工具。

payload毫不掩飾：反向shell連到硬編碼IP，直接接管你的機器；偷環(huán)境變量里的密鑰；下載二級木馬。開發(fā)者以為下的是正經(jīng)模型，實際上是把電腦鑰匙交給了陌生人。

Hugging Face不是沒反應(yīng)。2024年安全公司JFrog和ReversingLabs就報告過后門模型，平臺也跟JFrog、Wiz合作改進掃描，JFrog的集成把誤報率壓低了96%。但問題在于：開放架構(gòu)既是這個社區(qū)的核心價值，也是致命軟肋。你沒法既讓所有人自由上傳，又保證每個文件都干凈。

諷刺的是，這套基礎(chǔ)設(shè)施本來是為了加速AI開發(fā)建的。現(xiàn)在它成了搞破壞的高速通道。攻擊者吃準了一點：開發(fā)者對共享倉庫有默認信任，而這份信任正在被批量變現(xiàn)。