文章总结： 2026年9月发生针对国内开源AI模型仓库的供应链投毒攻击，71个恶意文件伪装模型更新投递至Qwen与DeepSeek官方仓库，实为CyberWin/CHAOSGPT攻击工具链，运行即触发命令执行、SSH爆破、屏幕音频采集等恶意行为。文章提供R1-R4防守处置清单、ATT&CK映射及IOC，建议平台侧清理恶意PR、终端侧检测特征字符串、用户侧断网轮换凭据并隔离审查模型代码。
综合评分： 85
文章分类： 供应链安全,恶意软件,漏洞预警,威胁情报,应急响应

供应链投毒 71 个恶意文件藏进官方模型仓库拉下来运行即被控

宝十八
宝十八

网络安全老宋

2026年9月28日 12:00
山东

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

导语： 你好，我是网络安全老宋。安全攻防干货准时送达！

| | |
| — | — |
| 网络安全老宋 | 安全预警 · 供应链投毒 |

// 安全预警 · 供应链投毒

71 个恶意文件藏进官方模型仓库拉下来运行即被控

2026 年 9 月，安全监测发现一起针对国内开源 AI 模型代码仓库的潜伏式污染攻击：攻击者以「模型更新」为名，把 71 个文件投递进 Qwen 与 DeepSeek 两个头部模型的官方仓库，实际是 CyberWin/CHAOS GPT 攻击工具链，含本地大模型驱动的自主攻击 Agent、去护栏、Web 控制台、SSH 爆破等恶意代码。运行即触发命令执行、端口扫描、SSH 爆破与屏幕 / 音频采集。

71个恶意文件2个头部仓库30 ATT&CK技术点

| | | |
| — | — | — |
| 📦 71 个恶意文件 | 🤖 2 个头部仓库 | ⚠️ 30 个ATT&CK技术点 |

00事件速览

| | | |
| — | — | — |
| 指标 | 数量 | 说明 |
| 投递文件 | 71 个 | 伪装「模型更新」投进 Qwen PR #198 / DeepSeek commit |
| 目标仓库 | 2 个 | Qwen3.8-27B、DeepSeek-V4.1-Flash |
| 提交时间 | 9 月 16 日 | 两次提交相隔约 14 分钟 |
| 攻击工具链 | 1 套 | CyberWin/CHAOS GPT（意大利语） |
| ATT&CK 映射 | 30 技术点 | 覆盖 10 个攻击阶段 |

事件核心并非模型权重、tokenizer 或训练数据投毒，而是把恶意代码藏进你信任的官方仓库，等你主动下载、查看或运行——形成仓库污染与诱导执行风险。底座模型用的是 Llama（llama2-uncensored 等）而非目标仓库的 Qwen/DeepSeek，这是「污染的是仓库、而非模型本体」的直接证据。

⚠️ 攻击者视角（情报通报，用于防守检测）：以下 IOC 均为已公开威胁情报，用途是让防守方在终端 EDR、WAF、邮件网关侧做检测与拦截，不是攻击指引。防守者视角：以上情报仅用于检测与拦截，不提供任何利用代码或攻击步骤。

01投毒链路

攻击者用六步把工具链送进你本机，从社会工程包装到持续控制：

02中招后你会怎样

本机手动运行代码后，可能触发命令执行、端口扫描、SSH 爆破、屏幕与音频采集、Web 控制及文件写入。配套 GUI 用「幽灵点击」回放鼠标、无边框置顶窗口、180 秒自动清理截图与音频，降低可见性——你很难察觉后台在动。

⚠️ 已运行 smart_chaos.py / chaos_web.py / vulnerable_rce.py 或相关 sudo 脚本的主机，先断网、终止进程树，再按 R3 做凭据轮换与重装评估，别抱侥幸。

03防守处置清单 R1–R4

| | |
| — | — |
| R1 | 平台/仓库侧清理立即拒绝并清理 Qwen/Qwen3.8-27B PR #198，评估 DeepSeek-V4.1-Flash 的 db668511 是否回滚删除，并向已拉取该 commit 的下游用户发通知；建立模型仓库文件基线，对新增大量非权重文件 / 空白 PR 正文 / 提交者删号 / 同指纹跨仓库重复进入人工复核与延迟合并。 |
| R2 | 终端/EDR 侧检测将 CyberWin、smart_chaos、CHAOS GPT、generate_payload、generatore_、abliterate_、llama2-uncensored、llama-lexi-uncensored、QUARANTENA、Scrivania、blue-terinal 等字符串纳入文件与内存扫描规则并结合哈希确认；重点监控 127.0.0.1:11434 的 Ollama、0.0.0.0:5000 的 Flask、nmap/paramiko/BeEF/sqlmap/Villain 启动链、SSH 弱口令尝试、/etc/hosts 与 UFW 变更，以及 outputs/ai_payload_*.py、agent_memory.db、chaos_master.db 的创建。 |
| R3 | 用户侧应急未下载者不要从 Qwen PR #198 或 DeepSeek commit 获取文件；已下载未执行者立即隔离保存、禁打开 / 导入 IDE / 执行；已执行 smart_chaos.py、chaos_web.py、vulnerable_rce.py 或相关 sudo 脚本的主机先断网并终止进程树，检查 ollama serve、5000/11434 端口、/etc/hosts、UFW、SSH 外联与内网扫描记录，再做凭据轮换与系统重装评估，用过的 SSH 密钥 / 云令牌 / 代码仓库令牌 / 本地密码全部轮换。 |
| R4 | 长期安全运行模型代码对来源不明模型仓库 / PR 附件 / 配套脚本在隔离 VM 或容器中静态 + 动态审查，禁 root 运行、只读挂载、最小网络、关 USB / 摄像头 / 麦克风；Ollama 仅绑 127.0.0.1 并启用 API 认证；对 AI Agent 类工具单独验证「人工审批是否生效、白名单能否阻断、停止按钮能否终止主循环」三个控制点，别把打印警告 / UI 按钮 / 提示词约束当真实安全边界。 |

04ATT&CK 映射

本次事件共涉及 ATT&CK 框架 10 个阶段、30 个技术点，关键行为如下：

05附表：IOC

⚠️ 以下内容为已公开威胁情报，仅供防守方检测与拦截使用。

附表一：样本文件 MD5（43 个）

附表二：特征字符串（11 个）

06老宋说

技术本质：这不是模型权重投毒，是把一整套恶意工具链藏进你信任的官方仓库，等你自己下载运行——根子是「信任官方仓库」这件事本身被利用了。

行业观察：本地大模型今年火，攻击队也盯上 Hugging Face 这类仓库做供应链投毒；Qwen/DeepSeek 是头部，但中小模型仓库同样是重灾区。开发者拉模型前该养成「先看 PR 内容、再决定跑不跑」的习惯。

建议：今天把本文 IOC 表（43 个样本 MD5 + 11 个特征字符串）导入 EDR/文件扫描规则；跑本地模型的同事，先查 11434/5000 端口、/etc/hosts、UFW、SSH 外联，别用 root 起 Ollama。

你可能错过

豹趣助力SDC2026 | 告别“设备堆砌”：企业安全的终局，是构建一体化防御体系

个人信息保护评估师（PIPA）白皮书

CCSP工作经验要求

热点速览 | 每周网安大事件（20260921-20260927）

供应链投毒 71 个恶意文件藏进官方模型仓库 拉下来运行即被控

71 个恶意文件藏进官方模型仓库 拉下来运行即被控