# Datoteke modela Hugging Face mogu pokrenuti skriveni kod

Published: 2026-10-12

Zlonamjerni paketi modela mogu izvršiti kod tijekom nesigurnog učitavanja. Tri dokumentirana primjera objašnjavaju Pickle reverse shellove, ponašanje skenera za oštećene datoteke i istraživanjem dokazanu zbrku naziva modela, s jasnim ograničenjima na tvrdnje o krađi vjerodajnica.

Canonical: https://thedailydiff.dev/hr/video/2026-10-12-huggingface-model-malware/

## Što ovaj video pokriva

- Numeričke težine modela, izvršna serijalizacija i prilagođeni kod repozitorija su različite stvari.
- JFrog i ReversingLabs dokumentirali su reverse-shell payloadove; njihovi odabrani izvještaji ne potvrđuju krađu vjerodajnica od imenovanih žrtava.
- Checkmarx Model Confusion bila je istraživačka demonstracija koja je zahtijevala podudaranje udaljenog modela i nesigurno učitavanje.
- Preferirajte safetensors i zakrpane učitavače, pregledajte i prikvačite prilagođeni kod te izolirajte nepoznate pakete od osobnih tajni i nepotrebnog mrežnog pristupa.

## Poglavlja

- 0:00 Kako preuzimanje modela može pozvati gosta?
- 0:35 Kako učitavač izvršava upute paketa?
- 1:09 Koje su tajne unutar dosega procesa?
- 1:38 Zašto nedostajuća lokalna putanja može postati udaljeni model?
- 1:55 Kako su oštećeni paketi izbjegli stari skener?
- 2:44 Što čuva ključ izvan dosega gosta?
- 3:12 Zašto bih ovo označio kao POTREBAN PREGLED?

## Prevedeni transkript

Prevedeno iz izvornog engleskog pripovijedanja. Dostupni zvuk i titlovi kontroliraju se putem YouTubea.

### Kako preuzimanje modela može pozvati gosta?

0:00 Datoteka modela su samo brojevi na disku. Učitavanje jednog zlonamjernog Hugging Face paketa otvorilo je udaljenu ljusku, što je ambiciozna interpretacija lokalne umjetne inteligencije. Kako učitavanje postaje izvršavanje? Koje tajne može dosegnuti? Što to zapravo zaustavlja? I imajte na umu jednu zagonetku. Model se možda neće učitati nakon što se opasni dio već dogodio.

0:18 Ovo je The Daily Diff, ispod haube. Hugging Face je platforma za dijeljenje modela strojnog učenja, skupova podataka i aplikacija. Težine modela su naučeni brojevi. Repozitorij također može sadržavati konfiguraciju i Python kod. Opasnost ovdje je izvršno pakiranje koje prelazi na vaše računalo kada ga učitavate. Pickle pohranjuje Python objekte s uputama za njihovu ponovnu izgradnju.

### Kako učitavač izvršava upute paketa?

0:37 Nesigurni učitavač može slijediti te upute i pozivati funkcije tijekom raspakiranja. Preuzimanje bajtova stavlja paket na vaš disk. Deserijalizacija ga otvara. Negdje je format datoteke promoviran u neplaćenog administratora sustava. JFrog je prijavio Goober Two u veljači 2024. Njegov Pickle payload otvorio je reverse shell, povezujući se prema van kako bi ponudio daljinski pristup naredbama. Repozitorij je izbrisan. JFrog je također pronašao tragove koji sugeriraju umiješanost istraživača,

1:02 tako da je atribucija neizvjesna. Neželjeni gost je dokumentiran. Krađa vjerodajnica od stvarnih žrtava nije utvrđena.

### Koje su tajne unutar dosega procesa?

1:09 Kod koji se izvodi kao vaš korisnik može čitati sve što taj proces može čitati. Montirani ključ u oblaku ili dostupan token postaje moguća meta. Za slanje je također potrebna ispravna mrežna ruta. Samo numeričke težine nemaju nikakve čarobne moći za vjerodajnice. Vaše dozvole isporučuju zanimljiv dio kartice modela. Postoje još jedna vrata. Neki modeli traže od vas da vjerujete udaljenom kodu, što autorizira Python iz repozitorija. Safetensor datoteke mogu stajati pored tog koda.

1:32 Provjera formata težine pokriva jedan ulaz, dok kod repozitorija još uvijek čeka da mu predate posjetničku značku.

### Zašto nedostajuća lokalna putanja može postati udaljeni model?

1:38 Checkmarx je demonstrirao Model Confusion. Nedostajuća lokalna putanja modela mogla bi se razriješiti u javni repozitorij s podudarnim imenom. Kombinirajte to s udaljenim kodom omogućenim, i pogrešan paket se može izvršiti. Ovo je bila istraživačka demonstracija koja je uključivala uzorak neimenovane tvrtke, ispravljen u roku od jednog dana. Nedostajuća mapa dobila je stanodavca. ReversingLabs je prijavio dva uzorka u veljači 2025.,

### Kako su oštećeni paketi izbjegli stari skener?

1:58 nazivajući tehniku nullify AI. Oba su sadržavala reverse shellove. Njihovo 7-zip pakiranje blokiralo je uobičajeno učitavanje PyTorcha, tako da je ovaj put zahtijevao ekstrakciju i nesigurnu deserijalizaciju. Oštećeni Pickle streamovi također su otkrili slijepu točku skenera. Neuspjelo skeniranje zaslužuje istragu prije nego što itko otvori paket. U bezopasnom testu istraživača, upute su napisale datoteku prije nego što je učitavač

2:18 došao do oštećenog dijela i podigao pogrešku. Zamislite da otvorite paket, pustite rakuna, a zatim primijetite da je oznaka za slanje nevažeća. Poruka o pogrešci stiže s izvrsnom gramatikom i groznim tajmingom. Hugging Face je uklonio prijavljene uzorke u roku od 24 sata i promijenio skener. To specifično otkriće potaknulo je popravak. Sigurnosno skeniranje je koristan dokaz, a tretiranje svake pogreške skenera kao čistog zdravstvenog stanja ostaje izvanredno velikodušna interpretacija neuspjeha.

2:43 Preferirajte safetensore i trenutne zakrpane učitavače.

### Što čuva ključ izvan dosega gosta?

2:46 PyTorch je suzio svoj zadani učitavač počevši od verzije 2.6. Pregledajte prilagođeni kod i prikvačite pregledanu reviziju. Pokrenite nepoznate pakete izolirano bez osobnih ključeva, s ograničenim mrežnim pristupom. Kontejner pun montiranih vjerodajnica je poklon košara s imenskim prostorima. Ta uvodna zagonetka ima odgovor. Neuspjeh učitavanja govori vam gdje se izvršavanje zaustavilo. Prethodne upute su se možda već izvršile.

3:08 Čuvajte tajne izvan njegovog dosega prije otvaranja paketa. Presuda, ispod haube.

### Zašto bih ovo označio kao POTREBAN PREGLED?

3:16 učitavač. Besplatno preuzimanje trebalo bi doći s modelom, a popis gostiju trebao bi ostati moja odluka. Ako ovo radije pročitate nego čujete kako ja to govorim, diff stiže u vašu pristiglu poštu svako jutro, besplatno na the daily diff dot dev, poveznica ispod. I to je diff za danas. Ja sam Niko iz Axrisija. Spajajte odgovorno.

## Izvori

- [Data Scientists Targeted by Malicious Hugging Face ML Models with Silent Backdoor](https://jfrog.com/blog/data-scientists-targeted-by-malicious-hugging-face-ml-models-with-silent-backdoor/) — JFrog
- [Malicious ML models discovered on Hugging Face platform](https://www.reversinglabs.com/blog/rl-identifies-malware-ml-model-hosted-on-hugging-face) — ReversingLabs
- [AI Model Confusion: An LLM/AI Model Supply Chain Attack](https://checkmarx.com/zero-post/hugs-from-strangers-ai-model-confusion-supply-chain-attack/) — Checkmarx Zero
- [Pickle Scanning](https://huggingface.co/docs/hub/en/security-pickle) — Hugging Face
- [Safetensors](https://huggingface.co/docs/safetensors/en/index) — Hugging Face
- [Loading custom models](https://huggingface.co/docs/transformers/en/models) — Hugging Face
- [Serialization semantics](https://docs.pytorch.org/docs/2.14/notes/serialization.html) — PyTorch