Cargar un modelo de Hugging Face suena a descargar datos, no a ejecutar un programa. Pero con una opción llamada trust_remote_code, el modelo trae su propio Python y lo corre en tu máquina al cargarse. Pluto Security documentó una campaña que explota exactamente eso para minar criptomonedas en servidores con GPU, y que reapareció días después de ser retirada.
Cómo funciona: no hay pesos envenenados
Según BleepingComputer y el informe de Pluto Security, publicados el 29 de octubre, la campaña no usa pesos manipulados ni explotación de pickle. Abusa de trust_remote_code: cuando el usuario (o la herramienta de despliegue) lo activa, el código Python incluido en el repositorio corre antes de que el modelo se cargue. El archivo model.safetensors del modelo principal pesa 42 bytes y no contiene tensores. Los blancos eran servidores de inferencia autoalojados, Xinference y GPUStack.
Qué hacía el código
Pluto describe un minero (peakminer) camuflado como proceso del kernel, con un watchdog que lo reinicia cada 120 segundos. Algunas versiones abren además una reverse shell, hay una puerta trasera por clave SSH y un script de escape de contenedores dirigido a GPUStack. Nueve máquinas de un clúster de investigación empezaron a minar y pararon unos seis minutos después. Según Pluto, el operador parece hablar chino por los comentarios del código y por su infraestructura; las ganancias son modestas, pero el acceso persistente vale más que el minero.
Un segundo ataque, dirigido a agentes de código
BleepingComputer añade que Air Security halló en GitHub un falso "Solana starter kit" (SolanaUpdateTools/solana-starter-kit, creado en noviembre de 2025, 286 estrellas) que aparece primero cuando un agente busca ese tema. Su README indica ejecutar un one-liner de PowerShell que baja un NetSupport RAT. No es un malware nuevo; lo novedoso es que el señuelo está pensado para que un agente de código lo ejecute sin revisar.
Qué significa para una empresa que usa IA
trust_remote_code=True con modelos de terceros no revisados, o revisá a mano los archivos .py que referencia el modelo antes de activarlo; (2) corré la inferencia de modelos externos en contenedores sin privilegios ni credenciales montadas; (3) si una máquina cargó alguno de estos modelos, aislala y rotá las credenciales: matar el minero no elimina las puertas traseras; (4) pedile a tus agentes de código que nunca ejecuten comandos tipo iwr | iex o curl | sh sacados de un README. Quien pretenda usar modelos abiertos en producción debe tratar el repositorio de modelos como se trata a un gestor de paquetes.