Hugging Face 投毒仓库暗装 PRL 矿工

PRL 被黑产利用，模型托管平台 Hugging Face 上出现投毒现象，31 个仓库伪装成 Qwen2 小模型。用户以 trust_remote_code 方式加载后，会安装 PRL 矿工程序，该程序伪装成系统进程，部分版本带有后门，能够远程控制机器。第一批相关仓库被删除后，攻击者更换账号重新上架，下载量超过 32000 次。攻击者第一批钱包已收到约 2276 个 PRL，按发文时价格计算约合 5000 美元，仓库被删除后仍在收款。Alch-crypto 提醒本地模型用户，不要对来路不明的模型开启 trust_remote_code；若显卡占用异常升高，应检查进程，并将挖矿设备与运行 AI 的机器分开。