Jueves 29 de octubre de 2026 ·
Pluto Security destapa una campaña de criptominería y puertas traseras en modelos de Hugging Face con 29.818 descargas
Útil para
Pluto Security documenta la campaña Load/Mine: 31 repositorios maliciosos en siete cuentas de Hugging Face, más un espejo en ModelScope, que se hacían pasar por pequeños modelos Qwen2. El código se ejecuta al cargar los modelos con trust_remote_code, sin explotar ninguna vulnerabilidad, e instala un minero sin archivos y, en algunas versiones, una shell inversa. Los escáneres de Hugging Face no lo detectaron, y la segunda oleada seguía activa días después de la denuncia.
Qué significa
Quien cargó alguno de estos modelos puede tener un minero y una puerta trasera instalados en su equipo, incluso después de borrar el modelo. El caso muestra que los escáneres de las plataformas no bastan para detectar código malicioso en los repositorios de modelos de IA.
Cómo te afecta
- CTO y tecnología
Revisa si tus equipos cargan modelos de Hugging Face con trust_remote_code=True, ya que eso ejecuta código del repositorio con sus privilegios. Establece una política de modelos verificados, revisiones fijadas y entornos aislados, y busca en tus registros, porque Pluto aclara que son descargas y no infecciones confirmadas.
Fuentes originales
Resumen de Hoy en IA. Pulsa una fuente para leer la noticia completa en su idioma original.
- Hugging FaceLeer la noticia completa en Hugging Face
- HackerNoonLeer la noticia completa en HackerNoon
- The Next WebLeer la noticia completa en The Next Web
- Unite.AILeer la noticia completa en Unite.AI
Relacionadas
También ese día
Todas las noticias de IA del jueves 29 de octubre de 2026 ->