Acronis Threat Research Unit publiserte 2. mai analysen «Poisoning the Well» som dokumenterer aktivt misbruk av Hugging Face og ClawHub for å distribuere malware forkledd som modeller, datasett og agent-utvidelser. Funnene er knyttet til OpenClaw-økosystemet, der trojaniserte skills enten ber brukeren kjøre kodede kommandoer eller installerer skjulte avhengigheter via passordbeskyttede installatører.
«Disse kampanjene utnytter tilliten i KI-økosystemer og agenter, og lar ondsinnet funksjonalitet kjøre på vegne av brukerne, utvidet utover den initielle infeksjonen», skriver Darrel Virtusio, Subhajeet Singha og Syed Aizad — Acronis TRU
Det farligste sporet er indirekte prompt-injeksjon. Skjulte instrukser i en skill får agenten til å kjøre angriperens kommandoer uten at brukeren ser dem. Det forskyver angrepsflaten fra ett kompromittert system til hver agent-arbeidsflyt der skill-en lastes inn. AMOS-stealer, en macOS-spesifikk infostealer som ofte selges som malware-as-a-service, var blant nyttelastene.
For norske KI-byggere som eksperimenterer med agent-økosystemer er dette en konkret risiko. Hugging Face hoster over 1 million modeller og hundretusenvis av datasett. Mange utviklere installerer skills og modellpakker uten å lese koden — på samme måte som vi en gang installerte npm-pakker uten å sjekke. Forskjellen nå er at skill-en kan handle på dine vegne så snart agenten din lastet den inn.
Hva bør du gjøre?
- Verifiser utgiveren av enhver OpenClaw-skill du installerer. De 13 kontoene Acronis identifiserte hadde alle få stjerner, lite historikk og kopierte beskrivelser fra legitime skills.
- Kjør agentene dine i isolerte miljøer (Docker, Firejail, eller en VM) når du tester nye skills. Det begrenser hva en kompromittert skill kan nå.
- Behandl agentens kommandologg som en sikkerhetslogg. Logg alle bash-kommandoer og fil-skrivinger agenten gjør, og varsle ved uventede
curl,wgeteller dekodings-mønstre (base64 -d,xxd -r). - Vurder allowlist for skill-domener. Hvis agenten din ikke skal hente eksterne ressurser, blokkér utgående trafikk til alt unntatt en liten liste.