Hugging Face #1 : le repo qui volait des credentials sous couverture OpenAI

OpenAI avait publié Privacy Filter le 22 avril sous licence Apache 2.0 : un modèle open-weight pour détecter et anonymiser des données personnelles dans du texte non structuré. Distribution via Hugging Face et GitHub, des canaux familiers pour les équipes dev. C'est exactement ce que les attaquants ont exploité.

Le dépôt Open-OSS/privacy-filter reprend la model card d'OpenAI quasi mot pour mot, conserve les liens vers la documentation officielle, et ne modifie qu'une chose dans le README : l'instruction d'exécution. Là où le projet légitime ne demande pas de lancer un script local, le repo frauduleux demande de cloner et d'exécuter start.bat sous Windows ou python loader.py sous Linux/macOS.

Le loader.py contient d'abord du code leurre — une classe DummyModel, une sortie d'entraînement simulée, un dataset synthétique. Puis il appelle une fonction nommée _verify_checksum_integrity(). Cette fonction désactive la vérification SSL, décode une URL encodée en base64 pointant vers un paste JSON sur JSONKeeper, extrait le champ cmd et le passe directement à PowerShell dans une fenêtre invisible. L'utilisation de JSONKeeper comme dead drop permet à l'attaquant de changer de payload sans toucher au dépôt.

loader.py → PowerShell → start.bat → escalade de privilèges → Sefirah

Le batch télécharge l'infostealer depuis api.eth-fastscan[.]org, l'ajoute aux exclusions de Microsoft Defender, crée une tâche planifiée qui se fait passer pour le service de mise à jour Edge (MicrosoftEdgeUpdateTaskCore[a-z0-9]{8}), l'exécute en contexte SYSTEM, puis s'autodétruit. La tâche ne persiste pas au redémarrage — c'est un lanceur unique, pas un mécanisme de persistance.

Sefirah pèse environ 1,07 Mo. Il intègre des vérifications de machines virtuelles (VirtualBox, VMware, QEMU, Xen), de sandboxes et de débogueurs, et tente de désactiver AMSI et ETW avant de collecter. Les données exfiltrées vers recargapopular[.]com incluent les profils Chromium et Gecko complets, les tokens Discord, les wallets crypto, les fichiers de configuration FileZilla, les clés SSH et VPN, ainsi que des captures d'écran multi-moniteurs.

HiddenLayer a identifié six autres dépôts utilisant la même infrastructure loader. Le domaine api.eth-fastscan[.]org avait également servi, le 26 avril, un exécutable dont le C2 (welovechinatown[.]info) était déjà documenté dans une campagne de typosquatting npm distribuant WinOS 4.0 — un implant RAT modulaire connu aussi sous le nom ValleyRAT.

Les 244 000 téléchargements et les 667 likes en 18 heures ne correspondent pas aux patterns d'adoption communautaire normaux. HiddenLayer estime que le compteur a été gonflé artificiellement pour pousser le repo en tête du trending — et donc bénéficier du signal de confiance implicite que représente la première place d'une plateforme comme Hugging Face.

Hugging Face intègre depuis 2024 un partenariat avec Protect AI pour le scan de modèles : 4,47 millions de versions scannées au 1er avril 2025, 352 000 problèmes détectés sur 51 700 modèles. La plateforme dispose aussi d'un scan des fichiers pickle, de détection de secrets et d'une certification SOC2 Type 2. Aucun de ces dispositifs n'a bloqué le dépôt avant que HiddenLayer le signale manuellement. La raison est structurelle : le vecteur d'attaque n'est pas un modèle corrompu — c'est un script Python d'apparence normale dans un repo qui ressemble à du code légitime.

Le contexte n'est pas isolé. En mars 2026, le package LiteLLM sur PyPI avait été compromis, exposant des clés API pour Meta, OpenAI et Anthropic. En avril, un package Bitwarden CLI sur npm avait été détourné pendant 90 minutes avec un payload ciblant spécifiquement Claude Code, Cursor et Codex CLI. PyTorch Lightning : 42 minutes. La Commission européenne elle-même avait été touchée via Trivy, un outil de scan de sécurité open source. Ce sont des fenêtres courtes, des insertions ciblées qui exploitent la résolution automatique des dépendances. Un développeur qui lance un git clone au mauvais moment télécharge la version compromise. La fenêtre se referme.

Le problème posé par l'incident Hugging Face va plus loin que la supply chain classique. Un modèle IA est exécuté différemment d'un package logiciel. On lui fait confiance parce qu'il vient d'une source qui ressemble à OpenAI. On lance le script parce que c'est ce qu'on fait quand on teste un modèle. La surface d'attaque s'est élargie au moment exact où les équipes MLOps ont intégré Hugging Face dans leurs pipelines de production.

Les utilisateurs qui ont exécuté start.bat ou python loader.py depuis le dépôt frauduleux sont conseillés de réimager complètement la machine — pas nettoyer, réimager — de ne pas se connecter à aucun compte depuis la machine compromise avant effacement, de faire tourner l'ensemble des credentials, d'invalider les sessions Discord et navigateur, et de remplacer les wallets crypto et leurs seed phrases.