AI 套件供應鏈雙起攻擊：Mistral 與假 OpenAI 倉庫遭滲透

AI 開發者工具生態 5 月 12 日同日傳出兩起重大供應鏈攻擊：（1）Microsoft Threat Intelligence 揭露 Mistral AI 的 PyPI 套件被植入惡意程式碼；（2）一個假冒 OpenAI 的 Hugging Face 儲存庫衝上熱門榜第 1、18 小時內吸引 24.4 萬次下載並竊取大量帳密。根據 Decrypt 報導，兩起事件都暴露 AI 開發者生態對供應鏈滲透的脆弱性。

Mistral AI 套件案：偽裝 Hugging Face Transformers 名稱的二階段攻擊

Mistral AI 的 PyPI 套件（Python 套件管理器）遭植入惡意程式碼、由 Microsoft Threat Intelligence 5 月 12 日於 X 公開揭露：

• 受影響範圍：mistralai PyPI 套件 v2.4.6
• 觸發方式：Linux 系統匯入套件時自動執行
• 第二階段 payload：從遠端伺服器下載 transformers.pyz、在背景執行
• 命名陷阱：transformers.pyz 刻意模仿 Hugging Face 流行的 Transformers 函式庫名稱
• 實際功能：竊取開發者登入憑證、access token；部分系統觸發隨機刪除位於以色列或伊朗 IP 範圍內的檔案

Mistral 5 月 13 日確認此供應鏈攻擊、但強調「Mistral 基礎設施未被入侵、攻擊起源於一個受影響的開發者裝置」。攻擊歸入廣義的 Shai-Hulud 惡意軟體系列（自 2025 年 9 月開始活躍、針對 npm 與 PyPI 開源套件供應鏈）。

假 OpenAI Hugging Face 案：6 階段 Rust 寫的 infostealer

同期、AI 模型平台 Hugging Face 出現名為「Open-OSS/privacy-filter」的假冒儲存庫、刻意模仿 OpenAI 4 月公開的 Privacy Filter 模型：

• 累積下載：18 小時內 24.4 萬次
• 累積點讚：667 個（其中 657 個疑似機器人帳號刷出）
• 熱門排名：曾衝上 Hugging Face 趨勢榜第 1
• 觸發指令：建議使用者執行 _start.bat（Windows）或 loader.py（Linux／Mac）
• 實際行為：6 階段 Rust 寫的 infostealer、竊取以下資料：
• —Chrome／Firefox 瀏覽器密碼與 Cookie
• —Discord token
• —加密貨幣錢包助記詞
• —SSH 與 FTP 憑證
• —所有螢幕的截圖

該倉庫由 AI 安全公司 HiddenLayer 揭發、Hugging Face 已下架。同期 HiddenLayer 還識別出 7 個類似的惡意儲存庫、部分模仿 Qwen3、DeepSeek 等其他熱門 AI 模型。

產業意義：AI 供應鏈成為新的攻擊面

鏈新聞觀察：本週同時揭發的 3 起 AI 相關供應鏈事件—Mistral PyPI、假 OpenAI HuggingFace、以及Google 5/11 揭露的 AI 製造零日漏洞案—揭示 AI 開發者生態已成為駭客的優先攻擊面。

三個案件的共同模式：

• 攻擊者偽裝為合法 AI 工具供應商（PyPI 套件、HuggingFace 模型、AI 製造漏洞利用程式）
• 目標是「Web3 與 AI 開發者」這群擁有高權限 token、加密錢包、雲端帳號的群體
• 洗錢／竊取路徑迅速—Hugging Face 案 18 小時 24.4 萬次下載、表示影響範圍快速擴張
• 大型平台（PyPI、HuggingFace）的審查機制不足以即時辨識假冒項目

對加密貨幣與 Web3 開發者來說、這些事件強化了 CertiK 同週公佈的「2025 北韓駭客盜走 20.6 億美元」報告中所提到的「社交工程 + 6 個月潛伏」威脅—2026 年的攻擊者已不需要直接駭交易所、只需汙染開發者使用的開源套件、就能間接取得對應的金鑰與資金。

個人開發者的實務防禦動作：套件安裝前驗證簽名與發行方、使用獨立的虛擬機跑剛下載的 AI 模型、定期輪替交易所 API 金鑰、加密錢包助記詞不在連網裝置上儲存。團隊層級則需要建立「SBOM（軟體物料清單）」與供應鏈簽署流程。

後續可追蹤的事件包括：Mistral 的內部裝置入侵調查結果、Hugging Face 是否導入更嚴格的趨勢榜審查機制、以及 7 個 HiddenLayer 揭發的其他惡意儲存庫（包含 Qwen3、DeepSeek 假冒版本）的後續資料。