Hugging Facen mallitiedostot voivat ajaa piilotettua koodia

Mitä tämä video käsittelee

• Numeeriset mallipainot, suoritettavat sarjallistukset ja mukautettu arkistokoodi ovat eri asioita.
• JFrog ja ReversingLabs dokumentoivat käänteiskuorien hyötykuormat; heidän valitut raporttinsa eivät vahvista tunnistetietojen varkautta nimetyiltä uhreilta.
• Checkmarxin Model Confusion oli tutkimusesimerkki, joka vaati vastaavan etämallin ja turvattoman latauksen.
• Suosi safetensors- ja paikattuja lataajia, tarkista ja lukitse mukautettu koodi ja eristä tuntemattomat paketit henkilökohtaisista salaisuuksista ja tarpeettomasta verkkoyhteydestä.

Käännetty transkriptio

Käännetty alkuperäisestä englanninkielisestä selostuksesta. Käytettävissä olevan äänen ja tekstitysten hallinta tapahtuu YouTuben kautta.

Miten mallilataus voi kutsua vieraan?

0:00 Mallitiedosto on vain lukuja levyllä. Yhden haitallisen Hugging Face -paketin lataaminen avasi etäkuoren, mikä on kunnianhimoinen tulkinta paikallisesta tekoälystä. Miten lataamisesta tulee suoritusta? Mihin salaisuuksiin se pääsee käsiksi? Mikä sen oikeasti pysäyttää? Ja pidä yksi palapeli mielessä. Malli voi epäonnistua latauksessa sen jälkeen, kun vaarallinen osa on jo tapahtunut.

0:18 Tämä on The Daily Diff, pinnan alla. Hugging Face on alusta koneoppimismallien, tietoaineistojen ja sovellusten jakamiseen. Mallipainot ovat opittuja lukuja. Arkisto voi sisältää myös konfiguraation ja Python-koodia. Vaara tässä on suoritettava pakkaus, joka siirtyy tietokoneellesi, kun lataat sen. Pickle tallentaa Python-objekteja ohjeineen niiden uudelleenrakentamiseen.

Miten lataaja suorittaa paketin ohjeet?

0:37 Turvaton lataaja voi noudattaa näitä ohjeita ja kutsua funktioita purkamisen aikana. Tavujen lataaminen asettaa paketin levylle. Deserilointi avaa sen. Jossain tiedostomuotoa on ylennetty palkattomaksi järjestelmänvalvojaksi. JFrog raportoi Goober Twosta helmikuussa 2024. Sen Pickle-hyötykuorma avasi käänteiskuoren, yhdistäen ulospäin tarjotakseen etäkäskyjen käyttömahdollisuuden. Arkisto poistettiin. JFrog löysi myös vihjeitä, jotka viittasivat tutkijoiden osallisuuteen,

1:02 joten syyllinen on epävarma. Kutsuumaton vieras dokumentoitiin. Tunnistetietojen varkautta varsinaisilta uhreilta ei vahvistettu.

Mitä salaisuuksia prosessin ulottuvilla on?

1:09 Käyttäjänäsi toimiva koodi voi lukea kaiken, mitä prosessi voi lukea. Asennettu pilviavain tai käytettävissä oleva tunnus voi tulla mahdolliseksi kohteeksi. Sen lähettäminen ulos vaatii myös toimivan verkkoreitin. Pelkillä numeerisilla painoilla ei ole maagisia tunnistetietojen valtuuksia. Käyttöoikeutesi antavat mallikortin mielenkiintoisimman osan. On toinenkin ovi. Jotkut mallit pyytävät sinua luottamaan etäkoodiin, joka valtuuttaa Pythonin arkistosta. Turvalliset tensoritiedostot voivat olla sen koodin vieressä.

1:32 Painomuodon tarkistaminen kattaa yhden sisäänkäynnin, kun taas arkiston koodi odottaa edelleen sinun antavan sille vierailijapassin.

Miksi puuttuvasta paikallisesta polusta voi tulla etämalli?

1:38 Checkmarx demonstroi Model Confusion -ilmiötä. Puuttuva paikallinen mallipolku voi ratkaista julkiseen arkistoon, jolla on vastaava nimi. Yhdistä se etäkoodiin, joka on käytössä, ja väärä paketti voi suorittaa. Tämä oli tutkimusesittely, joka koski nimeämättömän yrityksen näytettä, korjattu päivän sisällä. Puuttuva kansio hankki vuokranantajan. ReversingLabs raportoi kaksi näytettä helmikuussa 2025,

Miten rikkinäiset paketit väistivät vanhan skannerin?

1:58 kutsuen tekniikkaa nullify AI:ksi. Molemmat sisälsivät käänteiskuoria. Niiden 7-zip-pakkaus esti tavallisen PyTorchin latauksen, joten tämä polku vaati purkamista ja turvatonta deserilointia. Rikkinäiset Pickle-virrat paljastivat myös skannerin sokean pisteen. Epäonnistunut skannaus ansaitsee tutkimuksen ennen kuin kukaan avaa paketin. Tutkijoiden vaarattomassa testissä ohjeet kirjoittivat tiedoston ennen kuin lataaja

2:18 saavutti rikkinäisen osan ja nosti virheen. Kuvittele avaavasi paketin, vapauttavasi pesukarhun ja sitten huomaavasi, että lähetys etiketti on virheellinen. Virhesanoma saapuu erinomaisella kieliopilla ja kauhealla ajoituksella. Hugging Face poisti raportoidut näytteet 24 tunnin kuluessa ja muutti skanneria. Tämä erityinen havainto johti korjaukseen. Turvaskannaus on hyödyllinen todiste, ja jokaisen skannerivirheen käsitteleminen puhtaana terveystarkastuksena on edelleen huomattavan antelias tulkinta epäonnistumisesta.

2:43 Suosi turvallisia tensoreita ja nykyisiä paikattuja lataajia.

Mikä pitää avaimen poissa vieraan ulottuvilta?

2:46 PyTorch kavensi oletuslataajansa versiosta 2.6 alkaen. Tarkista mukautettu koodi ja lukitse tarkistettu versio. Suorita tuntemattomat paketit eristyksissä ilman henkilökohtaisia avaimia, rajoitetulla verkkoyhteydellä. Säiliö täynnä asennettuja tunnuksia on lahjakori nimiavaruuksineen. Tuohon avauspalapeliin on vastaus. Latausvirhe kertoo, missä suoritus pysähtyi. Aiemmat ohjeet ovat saattaneet jo suorittaa.

3:08 Pidä salaisuudet poissa sen ulottuvilta ennen paketin avaamista. Tuomio, pinnan alla.

Miksi leimaisin tämän NEEDS REVIEW -merkinnällä?

3:16 lataaja. Ilmaisen latauksen mukana pitäisi tulla malli, ja vieraslistan pitäisi pysyä minun päätöksessäni. Jos haluat mieluummin lukea tämän kuin kuulla minun sanovan sen, ero saapuu postilaatikkoosi joka aamu, ilmaiseksi osoitteessa the daily diff dot dev, linkki alla. Ja tämä on tämän päivän ero. Olen Niko Axrisista. Yhdistä vastuullisesti.

Lähteet

1. Data Scientists Targeted by Malicious Hugging Face ML Models with Silent BackdoorJFrog
2. Malicious ML models discovered on Hugging Face platformReversingLabs
3. AI Model Confusion: An LLM/AI Model Supply Chain AttackCheckmarx Zero
4. Pickle ScanningHugging Face
5. SafetensorsHugging Face
6. Loading custom modelsHugging Face
7. Serialization semanticsPyTorch