假模型混进了 Hugging Face，加载后先替黑客挖矿。研究人员追到了 31 个恶意仓库，拿小型 Qwen2 模型当幌子。其中一个样本的 model.safetensors 只有 42 字节，里面根本没有模型参数。
真正的东西藏在旁边的 Python 文件里。加载时启用了 trust_remote_code=True，模型加载器就会把仓库里的代码下载到本机执行。模型还没开始推理，挖矿程序已经跑起来了，有些版本还会留下远程控制后门。
更离谱的是，下载最多的那个恶意样本，扫描结果还显示安全。第一批仓库被下架后，攻击者几天内又换账号上传了新的一批。
复制模型加载代码时，看到 trust_remote_code=True 这行先停一下。它给的是执行仓库代码的权限，先看清楚代码里写了什么，再决定要不要开。
研究报告：https://pluto.security/blog/hugging-face-malware-campaign-load-mine/
正文完