# Hugging Face Modelldateien können versteckten Code ausführen Published: 2026-10-12 Bösartige Modellpakete können Code während des unsicheren Ladens ausführen. Drei dokumentierte Beispiele erklären Pickle-Reverse-Shells, das Verhalten von "Broken-File-Scannern" und forschungsdemonstrierte Modellnamensverwirrung, mit klaren Grenzen für die Behauptungen über den Diebstahl von Zugangsdaten. Canonical: https://thedailydiff.dev/de/video/2026-10-12-huggingface-model-malware/ ## Was dieses Video behandelt - Numerische Modellgewichte, ausführbare Serialisierung und benutzerdefinierter Repository-Code sind unterschiedliche Dinge. - JFrog und ReversingLabs dokumentierten Reverse-Shell-Payloads; ihre ausgewählten Berichte belegen keinen Diebstahl von Zugangsdaten von genannten Opfern. - Checkmarx Model Confusion war eine Forschungsdemonstration, die ein passendes Remote-Modell und unsicheres Laden erforderte. - Bevorzugen Sie Safetensors und gepatchte Loader, überprüfen und fixieren Sie benutzerdefinierten Code und isolieren Sie unbekannte Pakete von persönlichen Geheimnissen und unnötigem Netzwerkzugriff. ## Kapitel - 0:00 Wie kann ein Modell-Download einen Gast einladen? - 0:35 Wie führt ein Loader die Anweisungen des Pakets aus? - 1:09 Welche Geheimnisse sind innerhalb der Reichweite des Prozesses? - 1:38 Warum kann ein fehlender lokaler Pfad zu einem Remote-Modell werden? - 1:55 Wie haben defekte Pakete den alten Scanner umgangen? - 2:44 Was hält den Schlüssel außerhalb der Reichweite des Gastes? - 3:12 Warum sollte ich dies als NEEDS REVIEW kennzeichnen? ## Übersetztes Transkript Aus der englischen Originalerzählung übersetzt. Verfügbare Audio- und Untertitel werden von YouTube gesteuert. ### Wie kann ein Modell-Download einen Gast einladen? 0:00 Eine Modelldatei sind nur Zahlen auf der Festplatte. Das Laden eines bösartigen Hugging Face-Pakets öffnete eine Remote-Shell, was eine ehrgeizige Interpretation von lokaler KI ist. Wie wird aus dem Laden eine Ausführung? Welche Geheimnisse kann es erreichen? Was stoppt es eigentlich? Und behalten Sie ein Rätsel im Hinterkopf. Ein Modell kann nach dem gefährlichen Teil bereits nicht mehr geladen werden. 0:18 Das ist The Daily Diff, unter der Haube. Hugging Face ist eine Plattform zum Teilen von Machine-Learning-Modellen, Datensätzen und Anwendungen. Modellgewichte sind die gelernten Zahlen. Ein Repository kann auch Konfigurationen und Python-Code enthalten. Die Gefahr hier ist die ausführbare Verpackung, die auf Ihren Computer gelangt, wenn Sie sie laden. Pickle speichert Python-Objekte mit Anweisungen zu deren Wiederherstellung. ### Wie führt ein Loader die Anweisungen des Pakets aus? 0:37 Ein unsicherer Loader kann diese Anweisungen befolgen und Funktionen aufrufen, während er entpackt. Das Herunterladen der Bytes legt das Paket auf Ihrer Festplatte ab. Die Deserialisierung öffnet es. Irgendwo wurde ein Dateiformat zu einem unbezahlten Systemadministrator befördert. JFrog meldete Goober Two im Februar 2024. Sein Pickle-Payload öffnete eine Reverse-Shell, die nach außen verbunden war, um Remote- Befehlszugriff zu ermöglichen. Das Repository wurde gelöscht. JFrog fand auch Hinweise, die auf die Beteiligung von Forschern hindeuteten, 1:02 sodass die Zuordnung unsicher ist. Der unerwünschte Gast wurde dokumentiert. Der Diebstahl von Zugangsdaten von tatsächlichen Opfern wurde nicht festgestellt. ### Welche Geheimnisse sind innerhalb der Reichweite des Prozesses? 1:09 Code, der als Ihr Benutzer ausgeführt wird, kann alles lesen, was dieser Prozess lesen kann. Ein gemounteter Cloud-Schlüssel oder ein zugänglicher Token wird zu einem möglichen Ziel. Das Versenden erfordert auch eine funktionierende Netzwerkroute. Numerische Gewichte allein haben keine magischen Zugangsdaten-Befugnisse. Ihre Berechtigungen liefern den interessanten Teil der Modellkarte. Es gibt eine weitere Tür. Einige Modelle bitten Sie, Remote-Code zu vertrauen, der Python aus dem Repository autorisiert. Sichere Tensor-Dateien können neben diesem Code liegen. 1:32 Die Überprüfung des Gewichtsformats deckt einen Eingang ab, während der Code des Repositorys immer noch darauf wartet, dass Sie ihm einen Besucherausweis überreichen. ### Warum kann ein fehlender lokaler Pfad zu einem Remote-Modell werden? 1:38 Checkmarx demonstrierte Model Confusion. Ein fehlender lokaler Modellpfad könnte sich auf ein öffentliches Repository mit einem passenden Namen beziehen. Kombinieren Sie dies mit aktiviertem Remote-Code, und das falsche Paket kann ausgeführt werden. Dies war eine Forschungsdemonstration, die ein Beispiel eines ungenannten Unternehmens umfasste, das innerhalb eines Tages korrigiert wurde. Ein fehlender Ordner bekam einen Vermieter. ReversingLabs meldete im Februar 2025 zwei Proben, ### Wie haben defekte Pakete den alten Scanner umgangen? 1:58 die die Technik nullify AI nannten. Beide enthielten Reverse-Shells. Ihre 7-Zip-Verpackung blockierte das normale PyTorch-Laden, so dass dieser Pfad eine Extraktion und unsichere Deserialisierung erforderte. Defekte Pickle-Streams enthüllten auch einen blinden Fleck des Scanners. Ein fehlgeschlagener Scan verdient eine Untersuchung, bevor jemand das Paket öffnet. Im harmlosen Test der Forscher schrieben Anweisungen eine Datei, bevor der Loader 2:18 den defekten Teil erreichte und einen Fehler auslöste. Stellen Sie sich vor, Sie öffnen ein Paket, lassen den Waschbären frei und stellen dann fest, dass der Versandetikett ungültig ist. Die Fehlermeldung kommt mit ausgezeichneter Grammatik und schrecklichem Timing. Hugging Face entfernte die gemeldeten Proben innerhalb von 24 Stunden und änderte den Scanner. Dieser spezifische Befund führte zu einer Korrektur. Ein Sicherheitsscan ist ein nützlicher Beweis, und jede Fehlermeldung des Scanners als einen sauberen Gesundheitszeugnis zu betrachten, bleibt eine bemerkenswert großzügige Interpretation des Scheiterns. 2:43 Bevorzugen Sie sichere Tensoren und aktuelle gepatchte Loader. ### Was hält den Schlüssel außerhalb der Reichweite des Gastes? 2:46 PyTorch hat seinen Standard-Loader ab Version 2.6 eingeschränkt. Überprüfen Sie benutzerdefinierten Code und fixieren Sie die überprüfte Revision. Führen Sie unbekannte Pakete isoliert ohne persönliche Schlüssel aus, mit eingeschränktem Netzwerkzugriff. Ein Container voller gemounteter Zugangsdaten ist ein Geschenkkorb mit Namespaces. Das Eröffnungsrätsel hat eine Antwort. Das Fehlschlagen des Ladens sagt Ihnen, wo die Ausführung gestoppt wurde. Frühere Anweisungen könnten bereits ausgeführt worden sein. 3:08 Halten Sie die Geheimnisse außerhalb seiner Reichweite, bevor Sie das Paket öffnen. Urteil, unter der Haube. ### Warum sollte ich dies als NEEDS REVIEW kennzeichnen? 3:16 Loader. Der kostenlose Download sollte ein Modell enthalten, und die Gästeliste sollte meine Entscheidung bleiben. Wenn Sie dies lieber lesen als hören möchten, landet der Diff jeden Morgen kostenlos in Ihrem Posteingang unter thedailydiff.dev, Link unten. Und das ist der Diff für heute. Ich bin Niko von Axrisi. Verantwortungsbewusst zusammenführen. ## Quellen - [Data Scientists Targeted by Malicious Hugging Face ML Models with Silent Backdoor](https://jfrog.com/blog/data-scientists-targeted-by-malicious-hugging-face-ml-models-with-silent-backdoor/) — JFrog - [Malicious ML models discovered on Hugging Face platform](https://www.reversinglabs.com/blog/rl-identifies-malware-ml-model-hosted-on-hugging-face) — ReversingLabs - [AI Model Confusion: An LLM/AI Model Supply Chain Attack](https://checkmarx.com/zero-post/hugs-from-strangers-ai-model-confusion-supply-chain-attack/) — Checkmarx Zero - [Pickle Scanning](https://huggingface.co/docs/hub/en/security-pickle) — Hugging Face - [Safetensors](https://huggingface.co/docs/safetensors/en/index) — Hugging Face - [Loading custom models](https://huggingface.co/docs/transformers/en/models) — Hugging Face - [Serialization semantics](https://docs.pytorch.org/docs/2.14/notes/serialization.html) — PyTorch