Alch-crypto：Hugging Face 投毒仓库暗装 PRL 矿工

AI 摘要

一句话摘要: Hugging Face上31个伪装成Qwen2小模型的仓库被投毒，加载即安装PRL矿工并可能留后门。 关键事实: 攻击者用trust_remote_code机制在31个仓库植入PRL矿工程序并伪装成系统进程，部分版本带远程控制后门，仓库被删后换号重上架且下载量超3.2万次，首批钱包已收约2276个PRL约合5000美元。 涉及主体: Hugging Face, Qwen2, PRL, Alch-crypto, bitgou.org 可能影响: 暴露开源模型供应链安全风险，trust_remote_code机制成为攻击入口，可能推动模型托管平台加强仓库审核与用户安全提示。 是否值得继续跟踪: 是，攻击者换号重传说明对抗持续，后续可能出现更多变种和更大规模传播，需关注平台应对措施。 噪音/炒作风险: 低，有具体仓库数量、下载量、钱包收款等可验证数据，且属真实安全事件而非概念炒作。