Hugging Face-modelle lêers kan verborge kode uitvoer

Wat hierdie video dek

• Numeriese modelgewigte, uitvoerbare serialisering en pasgemaakte bewaarplekkode is verskillende dinge.
• JFrog en ReversingLabs het omgekeerde-skulp-laai opgemerk; hul geselekteerde verslae bewys nie geloofsdiefstal van genoemde slagoffers nie.
• Checkmarx Model Confusion was 'n navorsingsdemonstrasie wat 'n bypassende afgeleë model en onveilige laai vereis het.
• Verkies safetensors en gepatchte laaiers, hersien en speld pasgemaakte kode, en isoleer onbekende pakkette van persoonlike geheime en onnodige netwerktoegang.

Vertaalde transkripsie

Vertaal uit die oorspronklike Engelse vertelling. Beskikbare klank en onderskrifte word deur YouTube beheer.

Hoe kan 'n modelaflaai 'n gas nooi?

0:00 'n Modellêer is net syfers op skyf. Die laai van een kwaadwillige Hugging Face-pakket het 'n afgeleë dop oopgemaak, wat 'n ambisieuse interpretasie van plaaslike KI is. Hoe word laai uitvoering? Watter geheime kan dit bereik? Wat stop dit eintlik? En hou een raaisel in gedagte. 'n Model kan misluk om te laai nadat die gevaarlike deel reeds plaasgevind het.

0:18 Dit is The Daily Diff, onder die kap. Hugging Face is 'n platform vir die deel van masjienleermodelle, datastelle en toepassings. Modelgewigte is die geleerde getalle. 'n Bewaarplek kan ook konfigurasie en Python-kode bevat. Die gevaar hier is uitvoerbare verpakking wat jou rekenaar binnedring wanneer jy dit laai. Pickle stoor Python-objekte met instruksies om dit te herbou.

Hoe loop 'n laaier die pakket se instruksies?

0:37 'n Onveilige laaier kan daardie instruksies volg en funksies aanroep terwyl uitpak. Die aflaai van die grepe plaas die pakket op jou skyf. Deserialisering maak dit oop. Iewers is 'n lêerformaat bevorder tot onbetaalde stelseladministrateur. JFrog het Goober Two in Februarie tweeduie vier en twintig gerapporteer. Die Pickle-laai het 'n omgekeerde dop oopgemaak, wat uitwaarts verbind het om afgeleë bevelstoegang te bied. Die bewaarplek is uitgevee. JFrog het ook leidrade gevind wat navorsersbetrokkenheid voorstel,

1:02 so toeskrywing is onseker. Die ongewenste gas is gedokumenteer. Geloofsdiefstal van werklike slagoffers is nie bewys nie.

Watter geheime is binne die proses se bereik?

1:09 Kode wat as jou gebruiker loop, kan lees wat daardie proses kan lees. 'n Gemonteerde wolksleutel of 'n toeganklike teken word 'n moontlike teiken. Die uitstuur daarvan benodig ook 'n werkende netwerkroete. Numeriese gewigte alleen het geen magiese geloofsmag nie. Jou toestemmings verskaf die interessante deel van die modelkaart. Daar is nog 'n deur. Sommige modelle vra jou om afgeleë kode te vertrou, wat Python van die bewaarplek magtig. Veilige tensorlêers kan langs daardie kode sit.

1:32 Die nagaan van die gewigformaat dek een ingang, terwyl die bewaarplek se kode nog wag dat jy dit 'n besoekerskenteken gee.

Hoekom kan 'n ontbrekende plaaslike pad 'n afgeleë model word?

1:38 Checkmarx het Model Confusion gedemonstreer. 'n Ontbrekende plaaslike modelpad kan na 'n publieke bewaarplek met 'n bypassende naam oplos. Kombineer dit met afgeleë kode geaktiveer, en die verkeerde pakket kan uitgevoer word. Dit was 'n navorsingsdemonstrasie wat 'n ongenoemde maatskappy se voorbeeld behels het, binne 'n dag reggestel. 'n Ontbrekende vouer het 'n verhuurder verkry. ReversingLabs het twee voorbeelde in Februarie tweeduie vyf en twintig gerapporteer,

Hoe het gebroke pakkette die ou skandeerder ontduik?

1:58 en die tegniek nullify AI genoem. Beide het omgekeerde skulpe bevat. Hul sewe zip-verpakking het gewone PyTorch-laai geblokkeer, dus het hierdie pad onttrekking en onveilige deserialisering vereis. Gebroke Pickle-strome het ook 'n blinde kol vir skandeerders blootgelê. 'n Mislukte skandering verdien ondersoek voordat iemand die pakket oopmaak. In die navorsers se onskadelike toets, instruksies 'n lêer geskryf voordat die laaier

2:18 die gebroke deel bereik het en 'n fout opgelewer het. Stel jou voor dat jy 'n pakket oopmaak, die wasbeer loslaat, en dan opmerk dat die verskepingsetiket ongeldig is. Die foutboodskap arriveer met uitstekende grammatika en verskriklike tydsberekening. Hugging Face het die gerapporteerde voorbeelde binne vier en twintig uur verwyder en die skandeerder verander. Daardie spesifieke bevinding het 'n oplossing veroorsaak. 'n Sekuriteitskandering is nuttige bewyse, en om elke skandeerderfout as 'n skoon gesondheidsverklaring te behandel, bly 'n merkwaardige ruim interpretasie van mislukking.

2:43 Verkies veilige tensors en huidige gepatchte laaiers.

Wat hou die sleutel buite die gas se bereik?

2:46 PyTorch het sy versteklaaier vanaf weergawe twee punt ses vernou. Hersien pasgemaakte kode en speld die hersiene hersiening vas. Loop onbekende pakkette in isolasie sonder persoonlike sleutels, met beperkte netwerktoegang. 'n Houer vol gemonteerde geloofsbriewe is 'n geskenkmandjie met naamruimtes. Daardie openingraaisel het 'n antwoord. Laaifout vertel jou waar uitvoering gestop het. Vroeër instruksies kon reeds geloop het.

3:08 Hou die geheime buite sy bereik voordat jy die pakket oopmaak. Uitspraak, onder die kap.

Hoekom sou ek dit as NEEDS REVIEW stempel?

3:16 laaier. Die gratis aflaai moet met 'n model kom, en die gastelys moet 'n my besluit bly. As jy dit eerder wil lees as om my dit te hoor sê, land die diff elke oggend gratis in jou inkassie by the daily diff dot dev, skakel hieronder. En dit is die diff vir vandag. Ek is Niko van Axrisi. Voeg verantwoordelik saam.

Bronne

1. Data Scientists Targeted by Malicious Hugging Face ML Models with Silent BackdoorJFrog
2. Malicious ML models discovered on Hugging Face platformReversingLabs
3. AI Model Confusion: An LLM/AI Model Supply Chain AttackCheckmarx Zero
4. Pickle ScanningHugging Face
5. SafetensorsHugging Face
6. Loading custom modelsHugging Face
7. Serialization semanticsPyTorch