惡意 AI 模型儲存庫暗藏挖礦程式與後門，載入即可執行程式碼
原始來源： iThome · 2026/11/03
資安研究揭露一波透過 AI 模型分享平臺散布的惡意活動：攻擊者發布至少 31 個偽裝成小型測試模型的儲存庫，累計下載逾 3.2 萬次。當使用者以允許遠端程式碼的方式載入模型時，儲存庫內的自訂 Python 會在權重載入前即以呼叫端權限執行，植入加密貨幣挖礦程式與後門，鎖定自架推論主機、租用 GPU 與開發／測試環境。建議關閉遠端程式碼預設、審核模型定義檔，並監看異常 GPU 使用。
重點先看
惡意 AI 模型儲存庫可在允許遠端程式碼時，於載入當下執行挖礦與後門。請關閉遠端程式碼預設、審核模型定義檔，並隔離未知模型的載入環境。
發生了什麼
依 iThome 與 Pluto Security 研究整理，攻擊者在知名 AI 模型分享平臺以多個帳號發布至少 31 個惡意模型儲存庫，另有相關鏡像與連動模型，累計下載次數逾 3.2 萬次。這些儲存庫多偽裝成小型測試用 AI 模型，實際上並未提供可用的模型權重，而是把惡意邏輯藏在模型定義所需的自訂 Python 程式碼中。 關鍵機制是「允許執行遠端／儲存庫提供的模型程式碼」。部分 AI 模型需載入函式庫本身未內建的實作；一旦啟用該選項，載入流程會匯入並執行儲存庫指定的 Python 模組，且執行時具備呼叫端權限。惡意程式碼因此可在權重載入前就完成安裝，不必竄改模型權重，也不依賴序列化格式漏洞。 研究指出，後續酬載會在 GPU 推論主機部署加密貨幣挖礦程式，並以類似系統行程名稱隱藏、監控行程並在被終止後重啟；部分變種還會植入遠端存取後門或反向連線。鎖定對象包含自架推論服務、租用 GPU、共用研究環境，以及會自動拉取測試模型的 CI／開發工作流程。儲存庫遭下架後，攻擊者常在數日內以新帳號回籠。
為什麼掃描容易漏掉
模型分享平臺通常會對上傳檔案做防毒掃描，合作掃描器也常聚焦權重格式是否異常。但這波攻擊的惡意行為主要在「模型定義用的 Python」：檔案可能通過簽章或格式檢查，卻不會被當成傳統惡意執行檔。研究亦觀察到，有掃描結果將酬載判定為「不是機器學習模型」，反而未觸發封鎖。 此外，部分推論與微調工具曾在實作上未正確遵守「遠端程式碼」開關，導致即使使用者未明確啟用，仍可能在啟動或選取模型時執行儲存庫程式碼；相關產品後續已發布修補。這代表風險不只在終端使用者操作，也在自動拉取模型的服務與管線。
建議立即處置
請使用或託管 AI 模型的單位依序處理： 1. 預設關閉「允許執行遠端／儲存庫程式碼」；對需自訂實作的模型，先人工審核設定與所有 Python 檔後再於隔離環境載入。 2. 以鎖定的修訂版本拉取已審核模型，避免後續推送覆寫已檢查過的程式碼。 3. 盤點自架推論、開發筆電、共用環境與 CI 是否曾載入來路不明的小型測試模型；若曾啟用遠端程式碼，應視同主機可能遭入侵，隔離並完整重建。 4. 檢查異常 GPU 使用、不明常駐行程、排程、啟動腳本與授權金鑰；輪換該主機可觸及的雲端與原始碼庫憑證。 5. 為推論與開發環境強制對外連線允許清單，並以最低權限、非特權容器執行模型載入。
為什麼重要
企業把 AI 模型當成套件一樣拉取時，供應鏈信任邊界會延伸到「模型定義檔能不能跑程式碼」。一旦開發或推論主機被植入挖礦與後門，攻擊者可能進一步竊取權杖、資料集與內部模型服務憑證。下載次數以萬計，不代表同等感染數，但顯示此路徑已被大量觸及。 建議以 DevaEye 軟體安全檢測協助盤點模型與開發工具來源風險，並以 DevaEye MDR 託管防護監看端點異常行程與外連；同時搭配 Netskope 控管高風險雲端與模型來源存取。
Cloudforce 可以協助哪些？
面對惡意 AI 模型供應鏈與開發／推論主機遭植入挖礦或後門，可依下列方案對應： 1. DevaEye 軟體安全檢測：盤點開源相依、開發工具與模型／套件來源風險，協助找出不該信任的元件與設定，並提出修補或替代建議；適合檢視會自動拉取模型的管線與自架推論堆疊。 2. DevaEye MDR 託管防護：由 7×24 團隊監看異常行程、資源濫用、可疑外連與後門行為；一旦研判遭入侵，可協助隔離、清除與事件追蹤。 3. Netskope：控管雲端與模型分享平臺的存取，限制未核准來源與高風險下載，降低開發與研究環境直接拉取不明儲存庫的機會。 4. Vibe coding 開發治理：建立開發工具與模型來源的核准、版本鎖定與審核流程，縮短「方便測試、略過驗證」造成的空窗。
常見問題
沒有啟用遠端程式碼就沒有風險嗎？
風險會明顯降低，但仍需確認推論與微調工具是否正確遵守該開關，並避免以高權限自動拉取未審核模型。曾有工具實作缺陷導致未明確啟用仍執行儲存庫程式碼，應確認已套用修補。
下載次數等於感染數嗎？
不是。公開統計多為下載次數，不代表成功執行或獨特受害主機數。不過下載破萬已顯示此攻擊路徑被大量觸及，值得納入模型供應鏈控管。
若曾載入可疑模型該怎麼辦？
若當時允許執行遠端程式碼，應視同可能遭入侵：隔離主機、保全證據、檢查常駐與外連、輪換可觸及憑證，並以乾淨映像重建，不要只刪除單一檔案。
企業應先改哪些設定？
關閉遠端程式碼預設、鎖定已審核修訂版本、以隔離環境載入未知模型，並對推論／開發網段實施對外連線允許清單與最低權限。
DevaEye 軟體安全檢測能如何協助？
可協助盤點模型與開發工具供應鏈來源、比對已知風險元件，並提出控管與替代建議，降低未審核模型與自動化拉取進入正式環境的機會。