Alch-crypto：Hugging Face の投毒リポジトリが隠蔽して PRL マイナーをインストール

Alch-crypto（POW系コイン情報プラットフォーム bitgou.org の運営者）は、PRL が不正行為に悪用されていると指摘しました。攻撃者はモデルホスティングプラットフォーム「Hugging Face」上でモデル投毒を実施し、合計31個のQwen2小型モデルを装ったリポジトリを作成しました。ユーザーが trust_remote_code パラメーターを用いてこれらのモデルを読み込むと、PRL マイナーがサイレントインストールされます。このマイナーはシステムプロセスを装って動作するだけでなく、一部のバージョンにはリモート制御可能なバックドアも組み込まれています。Alch-crypto によると、最初に問題となったリポジトリはすでに削除されていますが、攻撃者は直ちにアカウントを変更して再アップロードしており、関連リポジトリの累計ダウンロード回数は3万2,000回を超えています。また、攻撃者が最初に使用した収益受け取り用ウォレットには、現在までに約2,276個のPRLが入金されており、投稿時点の市場価格で換算すると約5,000米ドル相当となります。さらに、該当リポジトリが削除された後でも、このウォレットは引き続きPRLを受け取っています。