Pluto Security ha pubblicato il rapporto sulla campagna Load/Mine il 29 ottobre 2026. Nel conteggio aggiornato al 28 ottobre, l’azienda ha registrato 44 repository e 32.376 download: 31 repository della campagna e altri 13 collegati. La sua analisi descrive codice Python eseguito durante il caricamento di alcuni modelli, quando veniva autorizzato l’uso di codice remoto. Pluto Security
Che cosa contano i numeri di Pluto Security
Il totale di download comprende i repository della prima e della seconda ondata e quelli collegati. Pluto distingue questi ultimi perché tecniche condivise non bastavano a dimostrare una proprietà comune.
| Gruppo di repository | Repository | Download registrati fino al 28 ottobre |
| Prima ondata | 12 | 728 |
| Seconda ondata | 19 | 29.090 |
| Repository collegati | 13 | 2.558 |
| Totale | 44 | 32.376 |
I download registrati da Pluto non indicano quante macchine siano state infettate né quante persone siano state colpite. Sono conteggi di scaricamenti, non di vittime.
Come il caricamento poteva eseguire codice Python
Secondo Pluto, il percorso iniziava da config.json: il campo auto_map indicava il modulo Python e la classe da caricare. Quando Transformers importava quel modulo, eseguiva le istruzioni Python presenti al livello superiore del file prima di restituire la classe del modello richiesta.
Questo comportamento richiedeva di autorizzare il codice personalizzato con trust_remote_code=True oppure di confermarne l’esecuzione in un’interazione con il programma. Pluto lo descrive come un’opzione esplicita, non come il comportamento predefinito. Il rischio riguardava quindi il codice del repository, non soltanto i pesi del modello: nel repository esaminato MENXIANGYU/qwen2-tiny, il file model.safetensors era di 42 byte e non conteneva tensori; il payload Python si trovava in modeling_evil2.py.
Come si è evoluta la seconda ondata
Pluto ha riferito che, dopo la rimozione degli account della prima ondata, sono comparsi repository con payload modificati; in alcune versioni erano presenti anche shell inverse riconnettibili. Per il repository MENXIANGYU/qwen2-tiny, il rapporto registra 7.354 download il 20 ottobre, 9.584 nel giro di poche ore, 18.012 il 25 ottobre, 25.854 il 27 ottobre e 28.412 il 28 ottobre. Sono rilevazioni datate riportate da Pluto.
Come ridurre il rischio nei sistemi di IA locali
Prima di autorizzare codice personalizzato, Pluto raccomanda di esaminare i file Python referenziati e di bloccare una revisione del repository già controllata. Suggerisce anche di limitare i privilegi del processo e l’accesso alla rete, e di non esporre segreti di produzione a codice non attendibile.
Un risultato pulito di uno scanner non basta a rendere sicuro un modulo Python: Pluto ha riferito che nessuno dei 12 repository della prima ondata era stato segnalato e che gli scanner usati nei suoi controlli avevano restituito risultati sicuri per il payload Python del repository di punta. Questi esiti riguardano i campioni e le scansioni descritte dall’azienda. Tra gli indicatori che Pluto invita a controllare sui sistemi coinvolti figurano il watchdog /tmp/.cch/svc.py, gli agganci ai file di avvio della shell, il processo camuffato come [kworker/u20:1] e le registrazioni associate a Xinference.
Per chi ha caricato uno dei repository elencati con il codice personalizzato autorizzato, Pluto raccomanda di isolare i sistemi interessati e conservare le prove, poi rimuovere la persistenza e ruotare le credenziali raggiungibili da una macchina pulita. Se non è possibile accertare l’integrità del sistema, consiglia di ricostruirlo.
