Hugging Face 是全球知名的开源社区和平台，供开发者托管、共享和协作开发人工智能模型、数据集和演示应用，可以视为 AI 界的“GitHub”或“应用商店”。该次攻击主要针对安卓用户，通过恐吓式广告，谎称用户设备已感染病毒，诱导其下载名为“TrustBastion”的诱饵应用。 TrustBastion 会立即弹出一个伪装成 Google Play 风格的强制更新提示。实际上，该应用并不直接包含恶意代码，而是连接服务器，将用户重定向至 Hugging Face 的数据集仓库，下载真正的恶意 APK 载荷。
