# A21: Поддельные репозитории моделей с похожими названиями (Typosquatted or fake model repository)

> Поддельные репозитории имитируют известные AI-бренды и модели и доставляют вредоносные скрипты или скомпрометированные артефакты. Для компании это компрометация команд разработки через цепочку поставок: утечка учётных данных и установка вредоносного ПО.

- Канонический HTML: [/threats/a21-typosquatted-or-fake-model-repository](https://ai-first.tech/threats/a21-typosquatted-or-fake-model-repository)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Модель и цепочка поставки

## Как проявляется риск

Сотрудник ищет модель в публичном каталоге и скачивает репозиторий с похожим названием и оформлением, принимая его за официальный релиз. Описание модели скопировано с оригинала, а учётная запись издателя создана недавно. Вместе с файлами модели в среду разработки попадают посторонние скрипты. Граница доверия нарушается в момент, когда внешний артефакт без проверки происхождения оказывается на рабочей станции рядом с ключами доступа и конвейером сборки.

## Влияние на бизнес

- **Безопасность.** Вредоносное ПО попадает в среду разработки и получает точку опоры внутри периметра.
- **Данные.** Утекают учётные данные разработчиков, ключи доступа к облаку и внутренним сервисам.
- **Операции.** Расследование и пересборка окружений останавливают работу команд над AI-проектами.

## Где риск наиболее вероятен

- Пилоты с моделями из публичных каталогов
- Самостоятельные эксперименты аналитиков на рабочих станциях
- Конвейеры сборки, загружающие модели по имени
- Подрядчики, приносящие готовые модели

## Кому и что решать

- **ИТ-директор.** Утвердить единый внутренний источник моделей и запретить прямую загрузку из публичных каталогов в рабочие среды.
- **Директор по кибербезопасности.** Обеспечить проверку издателя и содержимого каждого внешнего артефакта до его появления в корпоративной сети.
- **Владелец бизнес-процесса.** Закладывать в сроки пилотов время на проверку происхождения модели.

## Признаки для службы мониторинга

- Название репозитория или бренда отличается от официального на один-два символа
- Учётная запись издателя создана недавно и не имеет истории публикаций
- Описание модели дословно повторяет описание другого издателя
- В составе репозитория есть исполняемые скрипты, не нужные для работы модели
- Высокое число загрузок при отсутствии подтверждённого происхождения

## Меры защиты

- **Перечень разрешённых издателей** (организационная). Закрепить список проверенных издателей; остальное проходит отдельное согласование.
- **Внутреннее зеркало моделей** (техническая). Загружать модели только через корпоративный реестр, куда артефакт попадает после проверки.
- **Автономная проверка артефактов** (техническая). Сканировать скачанные репозитории в изолированной среде без доступа к сети и секретам.
- **Политика безопасного исполнения** (техническая). Запретить автоматический запуск кода из репозитория модели вне песочницы.
- **Оценка репутации репозиториев** (мониторинг). Отслеживать обращения к публичным каталогам и сверять их с данными о поддельных репозиториях.

## Вопросы команде и поставщику

- Откуда наши команды сегодня берут модели и кто это контролирует?
- Есть ли перечень разрешённых издателей и кто его ведёт?
- Проверяется ли содержимое репозитория до запуска на рабочей станции?
- Как быстро мы узнаем, что загруженная модель оказалась подделкой?

## Показатели контроля

- Доля моделей в эксплуатации, полученных из внутреннего реестра
- Число загрузок из публичных каталогов в обход реестра за период
- Доля внешних артефактов, прошедших проверку до первого запуска

## Первые 30 дней

- Собрать перечень внешних моделей, уже используемых в компании, и их источники
- Утвердить список проверенных издателей и порядок добавления новых
- Настроить изолированную среду для первичной проверки скачанных репозиториев

## Классы решений

- Безопасность цепочки поставок AI
- Безопасная разработка (DevSecOps)
- Киберразведка (Threat Intelligence)

## Сопоставления

- OWASP: LLM03, LLM04
- MITRE: ATLAS: ML Supply Chain
- NIST: NIST AI 100-2: Poisoning

## Первоисточники

- [HiddenLayer: Open-OSS/privacy-filter malicious Hugging Face repository case](https://hiddenlayer.com/) — Риск поддельных model repositories.
- [JFrog: Malicious ML Models on Hugging Face with Silent Backdoor](https://jfrog.com/blog/data-scientists-targeted-by-malicious-hugging-face-ml-models-with-silent-backdoor/) — Риски ML model supply chain.
- [ReversingLabs: nullifAI technique in ML models](https://www.reversinglabs.com/blog) — Техника, подтверждающая риск вредоносных ML-моделей.
- [arXiv: Models Are Codes: Security Risks of Loading Untrusted Models](https://arxiv.org/abs/2402.04354) — Исследование рисков загрузки моделей и datasets.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.