# קובצי מודל של Hugging Face יכולים להריץ קוד נסתר

Published: 2026-10-12

חבילות מודל זדוניות יכולות להריץ קוד במהלך טעינה לא בטוחה. שלוש דוגמאות מתועדות מסבירות רימוני Pickle הפוכים, התנהגות סורק קבצים פגומים ובלבול שמות מודלים שהודגם במחקר, עם גבולות ברורים על טענות גניבת פרטי כניסה.

Canonical: https://thedailydiff.dev/he/video/2026-10-12-huggingface-model-malware/

## מה מכסה הסרטון הזה

- משקלי מודל מספריים, סדרת הפעלה וקוד מאגר מותאם אישית הם דברים שונים.
- JFrog ו-ReversingLabs תיעדו מטעני רימון הפוכים; הדיווחים שבחרו אינם קובעים גניבת פרטי כניסה מקורבנות נקובים.
- בלבול מודלים של Checkmarx היה הדגמת מחקר שדרשה מודל מרוחק תואם וטעינה לא בטוחה.
- העדיפו safetensors ומטענים מתוקנים, בדקו וקבעו קוד מותאם אישית, ובודדו חבילות לא מוכרות מסודות אישיים ומגישת רשת מיותרת.

## פרקים

- 0:00 כיצד הורדת מודל יכולה להזמין אורח?
- 0:35 כיצד טוען מריץ את הוראות החבילה?
- 1:09 אילו סודות נמצאים בטווח הגישה של התהליך?
- 1:38 מדוע נתיב מקומי חסר יכול להפוך למודל מרוחק?
- 1:55 כיצד חבילות פגומות התחמקו מהסורק הישן?
- 2:44 מה שומר את המפתח מחוץ להישג ידו של האורח?
- 3:12 מדוע הייתי מסמן זאת כ-"NEEDS REVIEW"?

## תמליל מתורגם

תורגם מהקריינות המקורית באנגלית. זמינות אודיו וכתוביות נשלטת על ידי YouTube.

### כיצד הורדת מודל יכולה להזמין אורח?

0:00 קובץ מודל הוא רק מספרים על הדיסק. טעינת חבילת Hugging Face זדונית אחת פתחה מעטפת מרוחקת, וזו פרשנות שאפתנית של בינה מלאכותית מקומית. כיצד טעינה הופכת לביצוע? אילו סודות היא יכולה להשיג? מה למעשה עוצר אותה? וזכרו חידה אחת. מודל יכול להיכשל בטעינה לאחר שהחלק המסוכן כבר קרה.

0:18 זהו The Daily Diff, מתחת למכסה המנוע. Hugging Face היא פלטפורמה לשיתוף מודלים של למידת מכונה, מערכי נתונים ויישומים. משקלי מודל הם המספרים הנלמדים. מאגר יכול גם להכיל תצורה וקוד Python. הסכנה כאן היא אריזת הפעלה שחוצה למחשב שלך כשאתה טוען אותה. Pickle מאחסן אובייקטי Python עם הוראות לבנייתם מחדש.

### כיצד טוען מריץ את הוראות החבילה?

0:37 טוען לא בטוח יכול לעקוב אחר ההוראות האלה ולקרוא לפונקציות תוך כדי פריקה. הורדת הבתים מניחה את החבילה על הדיסק שלך. ביטול הסדרה פותח אותה. במקום כלשהו, פורמט קובץ קודם למנהל מערכת ללא תשלום. JFrog דיווחה על Goober Two בפברואר 2024. מטען ה-Pickle שלו פתח מעטפת הפוכה, מתחבר כלפי חוץ כדי להציע גישת פקודה מרחוק. המאגר נמחק. JFrog גם מצאה רמזים המצביעים על מעורבות חוקרים,

1:02 כך שהייחוס אינו ודאי. האורח הלא רצוי תועד. גניבת פרטי כניסה מקורבנות בפועל לא הוכחה.

### אילו סודות נמצאים בטווח הגישה של התהליך?

1:09 קוד הפועל כמשתמש שלך יכול לקרוא כל מה שהתהליך הזה יכול לקרוא. מפתח ענן מותקן או אסימון נגיש הופכים ליעד אפשרי. שליחתו החוצה דורשת גם נתיב רשת עובד. למשקלים מספריים לבדם אין כוחות קסם של פרטי כניסה. ההרשאות שלך מספקות את החלק המעניין של כרטיס המודל. יש דלת נוספת. מודלים מסוימים מבקשים ממך לסמוך על קוד מרוחק, המאשר קוד Python מהמאגר. קובצי Safe tensor יכולים לשבת לצד הקוד הזה.

1:32 בדיקת פורמט המשקל מכסה כניסה אחת, בעוד שקוד המאגר עדיין ממתין שתמסור לו תג מבקר.

### מדוע נתיב מקומי חסר יכול להפוך למודל מרוחק?

1:38 Checkmarx הדגימה בלבול מודלים. נתיב מודל מקומי חסר יכול להתייחס למאגר ציבורי עם שם תואם. שלבו זאת עם קוד מרוחק מופעל, והחבילה הלא נכונה יכולה להתבצע. זו הייתה הדגמת מחקר שכללה מדגם של חברה לא ידועה, שתוקנה תוך יום. תיקייה חסרה רכשה בעל בית. ReversingLabs דיווחה על שני דוגמאות בפברואר 2025,

### כיצד חבילות פגומות התחמקו מהסורק הישן?

1:58 וקראה לטכניקה nullify AI. שניהם הכילו מעטפות הפוכות. אריזת ה-7zip שלהם חסמה טעינה רגילה של PyTorch, ולכן נתיב זה דרש חילוץ וביטול סדרה לא בטוח. זרמי Pickle פגומים חשפו גם נקודת עיוורון של סורקים. סריקה כושלת ראויה לחקירה לפני שמישהו פותח את החבילה. בבדיקה הבלתי מזיקה של החוקרים, הוראות כתבו קובץ לפני שהטוען

2:18 הגיע לחלק הפגום והעלה שגיאה. תאר לעצמך שאתה פותח חבילה, משחרר את הראקון, ואז מבחין שתווית המשלוח אינה תקפה. הודעת השגיאה מגיעה עם דקדוק מצוין ותזמון נורא. Hugging Face הסירה את הדוגמאות המדווחות תוך עשרים וארבע שעות ושינתה את הסורק. ממצא ספציפי זה הוביל לתיקון. סריקת אבטחה היא ראיה שימושית, והתייחסות לכל שגיאת סורק כאל אישור בריאותי נקי נותרה פרשנות נדיבה במיוחד לכישלון.

2:43 העדיפו Safe tensors ומטענים מתוקנים עדכניים.

### מה שומר את המפתח מחוץ להישג ידו של האורח?

2:46 PyTorch צמצמה את הטוען ברירת המחדל שלה החל מגרסה 2.6. בדקו קוד מותאם אישית וקבעו את הגרסה שנבדקה. הפעילו חבילות לא מוכרות בבידוד ללא מפתחות אישיים, עם גישת רשת מוגבלת. קונטיינר מלא בפרטי כניסה מותקנים הוא סל מתנה עם מרחבי שמות. לחידת הפתיחה הזו יש תשובה. כישלון בטעינה אומר לך היכן הביצוע נעצר. הוראות קודמות ייתכן שכבר רצו.

3:08 שמרו את הסודות מחוץ להישג ידו לפני פתיחת החבילה. פסק דין, מתחת למכסה המנוע.

### מדוע הייתי מסמן זאת כ-"NEEDS REVIEW"?

3:16 טוען. ההורדה החינמית צריכה להגיע עם מודל, ורשימת האורחים צריכה להישאר החלטתי. אם אתם מעדיפים לקרוא זאת מאשר לשמוע אותי אומר זאת, ה-diff נוחת בתיבת הדואר שלכם כל בוקר, בחינם ב-thedailydiff.dev, קישור למטה. וזה ה-diff להיום. אני ניקו מ-Axrisi. מזג באחריות.

## מקורות

- [Data Scientists Targeted by Malicious Hugging Face ML Models with Silent Backdoor](https://jfrog.com/blog/data-scientists-targeted-by-malicious-hugging-face-ml-models-with-silent-backdoor/) — JFrog
- [Malicious ML models discovered on Hugging Face platform](https://www.reversinglabs.com/blog/rl-identifies-malware-ml-model-hosted-on-hugging-face) — ReversingLabs
- [AI Model Confusion: An LLM/AI Model Supply Chain Attack](https://checkmarx.com/zero-post/hugs-from-strangers-ai-model-confusion-supply-chain-attack/) — Checkmarx Zero
- [Pickle Scanning](https://huggingface.co/docs/hub/en/security-pickle) — Hugging Face
- [Safetensors](https://huggingface.co/docs/safetensors/en/index) — Hugging Face
- [Loading custom models](https://huggingface.co/docs/transformers/en/models) — Hugging Face
- [Serialization semantics](https://docs.pytorch.org/docs/2.14/notes/serialization.html) — PyTorch