Hugging Face eredu-fitxategiek ezkutuko kodea exekutatu dezakete

Bideo honek zer jorratzen duen

• Eredu-pisu numerikoak, exekutagarriaren serializazioa eta biltegiko kode pertsonalizatua gauza desberdinak dira.
• JFrog eta ReversingLabs-ek alderantzizko shell kargak dokumentatu zituzten; haien txosten hautatuek ez dute frogatzen kredentzialen lapurreta izendatutako biktimengandik.
• Checkmarx Model Confusion ikerketa-demonstrazio bat izan zen, urruneko eredu bat eta kargatze ez-seguru bat eskatzen zituena.
• Hobeto da safetensors eta kargatzaile adabakiak erabiltzea, kode pertsonalizatua berrikustea eta finkatzea, eta pakete ezezagunak sekretu pertsonaletatik eta beharrezkoa ez den sareko sarbidetik isolatzea.

Itzulitako transkripzioa

Jatorrizko ingelesezko narraziotik itzulia. Eskuragarri dauden audioa eta azpitituluak YouTube-k kontrolatzen ditu.

Nola gonbida dezake eredu baten deskargak gonbidatu bat?

0:00 Eredu fitxategi bat diskoan dauden zenbakiak besterik ez da. Hugging Face pakete maltzur bat kargatzeak urruneko shell bat ireki zuen, AI lokalaren interpretazio handinahi bat da. Nola bihurtzen da kargatzea exekuzio? Zein sekretutara irits daiteke? Zerk gelditzen du benetan? Eta gogoan izan puzzle bat. Eredu batek huts egin dezake kargatzean, zati arriskutsua jada gertatu ondoren.

0:18 Hau da The Daily Diff, atzealdean. Hugging Face ikaskuntza automatikoko ereduak partekatzeko plataforma bat da, datu-multzoak eta aplikazioak. Eredu-pisuak ikasitako zenbakiak dira. Biltegi batek konfigurazioa eta Python kodea ere eduki ditzake. Hemen arriskua exekutagarrien paketatzeak zure ordenagailura pasatzea da, zuk kargatzen duzunean. Pickle-k Python objektuak gordetzen ditu, berreraikitzeko argibideekin.

Nola exekutatzen ditu kargatzaile batek paketearen argibideak?

0:37 Kargatzaile ez-seguru batek argibide horiek jarraitu eta funtzioak dei ditzake despaketatzean. Byteak deskargatzeak paketea zure diskoan jartzen du. Deserializatzeak irekitzen du. Nonbait, fitxategi-formatu bat doako sistemaren administratzaile bihurtu da. JFrog-ek Goober Two-ren berri eman zuen 2024ko otsailean. Bere Pickle kargak alderantzizko shell bat ireki zuen, kanpora konektatuz urruneko komando sarbidea eskaintzeko. Biltegia ezabatu egin zen. JFrog-ek ikertzaileen inplikazioa iradokitzen zuten arrastoak ere aurkitu zituen,

1:02 beraz, esleipena ziurgabea da. Nahi gabeko gonbidatua dokumentatuta zegoen. Benetako biktimen kredentzialen lapurreta ez zen frogatu.

Zein sekretu daude prozesuaren eskura?

1:09 Zure erabiltzaile gisa exekutatzen den kodeak prozesu horrek irakur dezakeen edozer irakur dezake. Muntatutako hodeiko gako bat edo eskuragarri dagoen token bat balizko helburu bihurtzen da. Hori bidaltzeko sare-bide funtzionamenduan ere behar da. Pisu numerikoek bakarrik ez dute kredentzialen ahalmen magikorik. Zure baimenek eredu-txartelaren zati interesgarria ematen dute. Beste ate bat dago. Eredu batzuek urruneko kodea fidatzea eskatzen dizute, eta horrek biltegiko Python kodea baimentzen du. Safetensor fitxategiak kode horren ondoan egon daitezke.

1:32 Pisu-formatua egiaztatzeak sarrera bat estaltzen du, biltegiko kodea oraindik zure esku bisitari-txartel bat jartzeko zain dagoen bitartean.

Zergatik bihur daiteke tokiko bide bat urruneko eredu?

1:38 Checkmarx-ek Model Confusion frogatu zuen. Tokiko eredu-bide ezezagun batek izen berdineko biltegi publiko batera bideratu zezakeen. Konbinatu hori urruneko kodearekin gaituta, eta pakete okerra exekutatu daiteke. Hau ikerketa-demonstrazio bat izan zen, izendatu gabeko enpresa baten lagin batekin, egun batean zuzenduta. Karpeta galdu batek jabe bat eskuratu zuen. ReversingLabs-ek bi lagin jakinarazi zituen 2025eko otsailean,

Nola saihestu zituzten pakete "hautsiek" eskaner zaharra?

1:58 teknikari nullify AI izena emanez. Biek alderantzizko shell-ak zituzten. Bere zazpi zip paketatzeak PyTorch kargatze arrunta blokeatu zuen, beraz, bide honek erauzketa eta deserializazio ez-segurua eskatzen zituen. Pickle-korronte hautatuek ere eskaneraren puntu itsu bat agerian utzi zuten. Eskaner-errore batek ikerketa merezi du inork paketea ireki baino lehen. Ikertzaileen proba kaltegabean, argibideek fitxategi bat idatzi zuten kargatzailea zati hautsira iritsi baino lehen eta errore bat sortu zuten.

2:18 Imaginatu pakete bat irekitzen, mapatxea askatzen, eta gero bidalketa-etiketa baliogabea dela ohartzen. Errore-mezua gramatika bikainarekin eta denbora izugarri txarrean iristen da. Hugging Face-ek jakinarazitako laginak hogeita lau orduko epean kendu zituen eta eskanerra aldatu zuen. Aurkikuntza espezifiko horrek konponketa bat eragin zuen. Segurtasun-eskaneatze bat froga erabilgarria da, eta eskaner-errore guztiak osasun-ziurtagiri garbi gisa tratatzea hutsaren interpretazio izugarri eskuzabala da. Hobeto da safetensor-ak eta gaur egungo kargatzaile adabakiak erabiltzea.

2:43 PyTorch-ek bere kargatzaile lehenetsia murriztu zuen bi puntu seiko bertsiotik hasita.

Zerk mantentzen du gakoa gonbidatuaren eskura?

2:46 Berrikusi kode pertsonalizatua eta finkatu berrikusitako bertsioa. Exekutatu pakete ezezagunak isolatuta gako pertsonalik gabe, sare-sarbide mugatuarekin. Muntatutako kredentzialez betetako edukiontzi bat oparia da izen-espazioekin. Hasteko puzzle horrek erantzun bat du. Kargatze-hutsak exekuzioa non gelditu den esaten dizu. Aurreko argibideak dagoeneko exekutatu izan daitezke. Mantendu sekretuak bere eskura ez, paketea ireki baino lehen.

3:08 Epaia, atzealdean. kargatzailea. Doako deskargak eredu bat ekarri beharko luke, eta gonbidatuen zerrenda

Zergatik zigilatuko nuke hau NEEDS REVIEW gisa?

3:16 nire erabakia izaten jarraitu beharko luke. Hau irakurri nahiago baduzu entzun baino, diff-a zure sarrerako ontzira iristen da goizero, doan daily diff dot dev helbidean, beheko esteka. Eta hori da gaurko diff-a. Niko naiz Axrisitik. Fusionatu arduraz. Merge responsibly.

Iturriak

1. Data Scientists Targeted by Malicious Hugging Face ML Models with Silent BackdoorJFrog
2. Malicious ML models discovered on Hugging Face platformReversingLabs
3. AI Model Confusion: An LLM/AI Model Supply Chain AttackCheckmarx Zero
4. Pickle ScanningHugging Face
5. SafetensorsHugging Face
6. Loading custom modelsHugging Face
7. Serialization semanticsPyTorch