# Hugging Face մոդելային ֆայլերը կարող են թաքնված կոդ գործարկել

Published: 2026-10-12

Չարամիտ մոդելային փաթեթները կարող են կոդ կատարել անապահով բեռնման ժամանակ։ Երեք փաստագրված օրինակ բացատրում են Pickle-ի հակադարձ շելլերը, կոտրված ֆայլերի սկաների վարքագիծը և հետազոտությամբ ցուցադրված մոդելի անվան շփոթությունը, գաղտնիքների գողության պնդումների հստակ սահմանափակումներով։

Canonical: https://thedailydiff.dev/hy/video/2026-10-12-huggingface-model-malware/

## Ինչ է ընդգրկում այս տեսանյութը

- Թվային մոդելային կշիռները, գործարկվող սերիալիզացիան և հարմարեցված պահոցի կոդը տարբեր բաներ են։
- JFrog-ը և ReversingLabs-ը փաստագրել են հակադարձ շելլի պարունակությունները. նրանց ընտրված զեկույցները չեն հաստատում գաղտնիքների գողություն անվանական զոհերից։
- Checkmarx-ի Model Confusion-ը հետազոտական ցուցադրություն էր, որը պահանջում էր համապատասխան հեռավոր մոդել և անապահով բեռնում։
- Նախընտրեք safetensors-ը և կարկատված բեռնիչները, վերանայեք և ամրացրեք հարմարեցված կոդը, և մեկուսացրեք անծանոթ փաթեթները անձնական գաղտնիքներից և ավելորդ ցանցային մուտքից։

## Գլուխներ

- 0:00 Ինչպե՞ս կարող է մոդելի ներբեռնումը հյուր հրավիրել:
- 0:35 Ինչպե՞ս է բեռնիչը կատարում ծանրոցի հրահանգները:
- 1:09 Որո՞նք են գաղտնիքները գործընթացի հասանելիության մեջ:
- 1:38 Ինչու՞ կարող է բացակայող տեղական ուղին դառնալ հեռավոր մոդել:
- 1:55 Ինչպե՞ս են կոտրված փաթեթները խուսափել հին սկաներից:
- 2:44 Ի՞նչն է պահում բանալին հյուրի հասանելիությունից դուրս:
- 3:12 Ինչու՞ ես կդրոշմեի սա NEEDS REVIEW:

## Թարգմանված արձանագրություն

Թարգմանվել է բնօրինակ անգլերեն պատմությունից։ Հասանելի աուդիո և ենթագրերը վերահսկվում են YouTube-ի կողմից։

### Ինչպե՞ս կարող է մոդելի ներբեռնումը հյուր հրավիրել:

0:00 Մոդելային ֆայլը պարզապես թվեր են սկավառակի վրա։ Մեկ չարամիտ Hugging Face փաթեթի բեռնումը բացեց հեռավոր շելլ, որը տեղական AI-ի հավակնոտ մեկնաբանություն է։ Ինչպե՞ս է բեռնումը դառնում կատարում: Ի՞նչ գաղտնիքների կարող է այն հասնել: Ի՞նչն է իրականում դադարեցնում այն: Եվ մի հանելուկ պահեք մտքում։ Մոդելը կարող է չբեռնվել այն բանից հետո, երբ վտանգավոր մասն արդեն տեղի է ունեցել։

0:18 Սա The Daily Diff-ն է, ներքին տեսանկյունից։ Hugging Face-ը մեքենայական ուսուցման մոդելների փոխանակման հարթակ է, տվյալների հավաքածուների և հավելվածների համար։ Մոդելի կշիռները սովորված թվերն են։ Պահոցը կարող է նաև պարունակել կոնֆիգուրացիա և Python կոդ։ Այստեղ վտանգը գործարկվող փաթեթավորումն է, որը հատում է ձեր համակարգիչը, երբ դուք բեռնում եք այն։ Pickle-ը պահում է Python օբյեկտներ՝ դրանք վերակառուցելու հրահանգներով։

### Ինչպե՞ս է բեռնիչը կատարում ծանրոցի հրահանգները:

0:37 Անապահով բեռնիչը կարող է հետևել այդ հրահանգներին և ֆունկցիաներ կանչել՝ միաժամանակ փաթեթազերծելով։ Բայթերը ներբեռնելը ծանրոցը դնում է ձեր սկավառակի վրա։ Ապասերիալիզացիան բացում է այն։ Մի տեղ, ֆայլի ձևաչափը վերածվել է չվճարվող համակարգի ադմինիստրատորի։ JFrog-ը 2024 թվականի փետրվարին հայտնել է Goober Two-ի մասին։ Նրա Pickle-ի պարունակությունը բացեց հակադարձ շելլ՝ դուրս միանալով հեռավոր հրամանների մուտք առաջարկելու համար։ Պահոցը ջնջվեց։ JFrog-ը նաև գտել է հետազոտողների մասնակցության վերաբերյալ հուշումներ,

1:02 ուստի վերագրումն անորոշ է։ Անցանկալի հյուրը փաստագրվել է։ Իրական զոհերից գաղտնիքների գողությունը հաստատված չէ։

### Որո՞նք են գաղտնիքները գործընթացի հասանելիության մեջ:

1:09 Ձեր օգտագործողի անունից աշխատող կոդը կարող է կարդալ այն ամենը, ինչ կարող է կարդալ այդ գործընթացը։ Ամրացված ամպային բանալին կամ մատչելի թոքենը դառնում է հնարավոր թիրախ։ Այն ուղարկելու համար անհրաժեշտ է նաև աշխատող ցանցային երթուղի։ Միայն թվային կշիռները գաղտնիքների կախարդական ուժեր չունեն։ Ձեր թույլտվությունները տրամադրում են մոդելի քարտի հետաքրքիր մասը։ Կա մեկ այլ դուռ։ Որոշ մոդելներ խնդրում են ձեզ վստահել հեռավոր կոդին, որը թույլ է տալիս Python-ին պահոցից։ Safe tensor ֆայլերը կարող են տեղադրվել այդ կոդի կողքին։

1:32 Կշիռների ձևաչափը ստուգելը ծածկում է մեկ մուտքը, մինչդեռ պահոցի կոդը դեռ սպասում է, որ դուք նրան այցելուի կրծքանշան տաք։

### Ինչու՞ կարող է բացակայող տեղական ուղին դառնալ հեռավոր մոդել:

1:38 Checkmarx-ը ցուցադրել է Model Confusion-ը։ Բացակայող տեղական մոդելի ուղին կարող է լուծվել հանրային պահոցի հետ՝ համապատասխան անվանմամբ։ Սա միացրեք հեռավոր կոդի հետ միացված, և սխալ փաթեթը կարող է գործարկվել։ Սա հետազոտական ցուցադրություն էր, որը ներառում էր անանուն ընկերության նմուշ, որը շտկվել է մեկ օրվա ընթացքում։ Բացակայող թղթապանակը ձեռք բերեց տանտեր։ ReversingLabs-ը 2025 թվականի փետրվարին հայտնել է երկու նմուշների մասին,

### Ինչպե՞ս են կոտրված փաթեթները խուսափել հին սկաներից:

1:58 այդ տեխնիկան անվանելով nullify AI։ Երկուսն էլ պարունակում էին հակադարձ շելլեր։ Նրանց յոթ ZIP փաթեթավորումը արգելափակում էր սովորական PyTorch բեռնումը, ուստի այս ուղին պահանջում էր արդյունահանում և անապահով ապասերիալիզացիա։ Կոտրված Pickle հոսքերը նաև բացահայտեցին սկաների կույր կետ։ Ձախողված սկանավորումը հետաքննության է արժանի, նախքան որևէ մեկը ծանրոցը բացի։ Հետազոտողների անվնաս թեստում հրահանգները գրել էին ֆայլը մինչև բեռնիչը

2:18 հասներ կոտրված մասին և սխալ առաջացներ։ Պատկերացրեք՝ բացում եք ծանրոցը, արձակում եք ջրարջին, ապա նկատում եք, որ առաքման պիտակն անվավեր է։ Սխալի հաղորդագրությունը հասնում է հիանալի քերականությամբ և սարսափելի ժամանակով։ Hugging Face-ը 24 ժամվա ընթացքում հեռացրել է հաղորդված նմուշները և փոխել սկաները։ Այդ կոնկրետ գտածոն խթանել է շտկում։ Անվտանգության սկանավորումը օգտակար ապացույց է, և յուրաքանչյուր սկաների սխալը որպես մաքուր առողջության վկայական ընդունելը մնում է ձախողման զարմանալիորեն առատաձեռն մեկնաբանություն։

2:43 Նախընտրեք safe tensors-ը և ընթացիկ կարկատված բեռնիչները։

### Ի՞նչն է պահում բանալին հյուրի հասանելիությունից դուրս:

2:46 PyTorch-ը նեղացրել է իր լռելյայն բեռնիչը՝ սկսած 2.6 տարբերակից։ Վերանայեք հարմարեցված կոդը և ամրացրեք վերանայված տարբերակը։ Անծանոթ փաթեթներն առանձին գործարկեք առանց անձնական բանալիների, սահմանափակ ցանցային մուտքով։ Լցված հավատարմագրերով կոնտեյները նվերների զամբյուղ է՝ անունների տարածքներով։ Այդ բացվող հանելուկը պատասխան ունի։ Բեռնման ձախողումը հուշում է, թե որտեղ է կանգ առել կատարումը։ Նախորդ հրահանգներն արդեն կարող էին գործարկված լինել։

3:08 Ծանրոցը բացելուց առաջ գաղտնիքները պահեք նրա հասանելիությունից դուրս։ Վճիռը՝ ներքին տեսանկյունից։

### Ինչու՞ ես կդրոշմեի սա NEEDS REVIEW:

3:16 բեռնիչ։ Անվճար ներբեռնումը պետք է մոդելով լինի, իսկ հյուրերի ցուցակը պետք է մնա իմ որոշումը։ Եթե նախընտրում եք սա կարդալ, քան լսել ինձանից, ապա diff-ը հասնում է ձեր մուտքի արկղ ամեն առավոտ, անվճար the daily diff dot dev կայքում, հղումը՝ ներքևում։ Եվ սա այսօրվա diff-ն է։ Ես Նիկոն եմ Axrisi-ից։ Միավորեք պատասխանատվությամբ։

## Աղբյուրներ

- [Data Scientists Targeted by Malicious Hugging Face ML Models with Silent Backdoor](https://jfrog.com/blog/data-scientists-targeted-by-malicious-hugging-face-ml-models-with-silent-backdoor/) — JFrog
- [Malicious ML models discovered on Hugging Face platform](https://www.reversinglabs.com/blog/rl-identifies-malware-ml-model-hosted-on-hugging-face) — ReversingLabs
- [AI Model Confusion: An LLM/AI Model Supply Chain Attack](https://checkmarx.com/zero-post/hugs-from-strangers-ai-model-confusion-supply-chain-attack/) — Checkmarx Zero
- [Pickle Scanning](https://huggingface.co/docs/hub/en/security-pickle) — Hugging Face
- [Safetensors](https://huggingface.co/docs/safetensors/en/index) — Hugging Face
- [Loading custom models](https://huggingface.co/docs/transformers/en/models) — Hugging Face
- [Serialization semantics](https://docs.pytorch.org/docs/2.14/notes/serialization.html) — PyTorch