Hugging Face líkanaskrár geta keyrt falinn kóða

Það sem þetta myndband fjallar um

• Tölulegar líkanavigtir, keyranleg raðkerfisgerð og sérsniðinn geymslukóði eru mismunandi hlutir.
• JFrog og ReversingLabs skjalfestu "reverse-shell" hleðslur; valdar skýrslur þeirra staðfesta ekki auðkennisþjófnað frá nafngreindum fórnarlömbum.
• Checkmarx Model Confusion var rannsóknarsýning sem krafðist samsvarandi fjarlægs líkans og óörugrar hleðslu.
• Kjósið safetensors og plástraða hleðsluaðila, skoðið og festið sérsniðinn kóða, og einangrið ókunna pakka frá persónulegum leyndarmálum og óþarfa netþjónustu.

Þýtt afrit

Þýtt úr upprunalegri enskri frásögn. Tiltækt hljóð og textar eru stjórnaðir af YouTube.

Hvernig getur líkananiðurhal boðið gesti?

0:00 Líkanaskrá er bara tölur á diski. Að hlaða inn einum illgjarnum Hugging Face pakka opnaði fjarlæga skel, sem er metnaðarfull túlkun á staðbundinni gervigreind. Hvernig verður hleðsla að framkvæmd? Hvaða leyndarmál getur hún náð í? Hvað stöðvar það í raun? Og hafið eina gátu í huga. Líkan getur mistekist að hlaðast eftir að hættulegi hlutinn er þegar búinn að gerast.

0:18 Þetta er The Daily Diff, undir húddinu. Hugging Face er vettvangur til að deila vélrænum námseiningum, gagnasöfnum og forritum. Líkanavigtir eru tölurnar sem lærðar hafa verið. Geymsla getur einnig innihaldið stillingar og Python kóða. Hættan hér er keyranleg pakkning sem fer inn á tölvuna þína þegar þú hleður hana. Pickle geymir Python hluti með leiðbeiningum til að endurbyggja þá.

Hvernig keyrir hleðsluaðili leiðbeiningar pakkans?

0:37 Óöruggur hleðsluaðili getur fylgt þessum leiðbeiningum og kallað á aðgerðir meðan pakkað er upp. Með því að hlaða niður bætinum er pakkinn kominn á diskinn þinn. Afraðkerfisgerð opnar hann. Einhvers staðar hefur skráarsnið verið hækkað í ólaunaðan kerfisstjóra. JFrog greindi frá Goober Two í febrúar 2024. Pickle hleðslan hans opnaði "reverse shell" og tengdist út á við til að bjóða upp á fjarlægan skipunaraðgang. Geymslan var eytt. JFrog fann einnig vísbendingar sem bentu til þátttöku rannsakenda,

1:02 svo auðkenning er óviss. Óæskilegur gestur var skjalfestur. Auðkennisþjófnaður frá raunverulegum fórnarlömbum var ekki staðfestur.

Hvaða leyndarmál eru innan seilingar ferilsins?

1:09 Kóði sem keyrir sem notandi þinn getur lesið allt sem þessi ferill getur lesið. Festur skýrlykill eða aðgengilegur tákn verður mögulegt skotmark. Til að senda það út þarf einnig virka netleið. Aðeins tölulegar vigtir hafa engin töfrandi auðkennisvöld. Leyfi þín veita áhugaverða hluta líkanakortsins. Það er önnur hurð. Sumar gerðir biðja þig um að treysta fjarkóða, sem heimilar Python úr geymslunni. Öruggar skráarsett geta verið við hlið þess kóða.

1:32 Að athuga snið þyngdar nær yfir einn inngang, á meðan kóði geymslunnar er enn að bíða eftir að þú réttir honum gestabúmerki.

Hvers vegna getur vantar staðbundin slóð orðið fjarlægt líkan?

1:38 Checkmarx sýndi fram á líkanarugling. Vantar staðbundin líkanaslóð gæti vísað í almenna geymslu með samsvarandi nafni. Sameinaðu það við fjarkóða virkt, og rangur pakki getur keyrt. Þetta var rannsóknarsýning sem snerist um sýnishorn ónefnds fyrirtækis, leiðrétt innan dags. Vantar mappa eignaðist leigjanda. ReversingLabs greindi frá tveimur sýnum í febrúar 2025,

Hvernig komust brotnir pakkar framhjá gamla skannanum?

1:58 og kallaði tæknina "nullify AI". Báðar innihéldu "reverse shells". Sjö zip pakkning þeirra lokaði fyrir venjulega PyTorch hleðslu, svo þessi leið krafðist útdráttar og óöruggrar afraðkerfisgerðar. Brotnar Pickle straumar afhjúpuðu einnig blindan punkt skanna. Ótökuð skönnun á skilið rannsókn áður en nokkur opnar pakkann. Í skaðlausri prófun rannsakendanna skrifuðu leiðbeiningar skrá áður en hleðsluaðili

2:18 náði til brotna hlutans og vakti upp villu. Ímyndaðu þér að opna pakka, sleppa þvottabirninum, og taka síðan eftir að sendingarmiðinn er ógildur. Villuskilaboðin koma með frábærri málfræði og hræðilegri tímasetningu. Hugging Face fjarlægði tilkynnt sýni innan sólarhrings og breytti skannanum. Sú sérstaka niðurstaða kallaði á lagfæringu. Öryggisskönnun er gagnleg sönnunargögn, og að líta á hverja skannavillu sem hreinan heilbrigðisvottorð er enn athyglisvert rausnarleg túlkun á mistökum.

2:43 Kjósið "safe tensors" og núverandi plástraða hleðsluaðila.

Hvað heldur lyklinum utan seilingar gestsins?

2:46 PyTorch þrengdi sjálfgefna hleðsluaðila sína frá og með útgáfu 2.6. Skoðaðu sérsniðinn kóða og festu þá endurskoðuðu útgáfu. Keyrðu ókunna pakka í einangrun án persónulegra lykla, með takmörkuðum netaðgangi. Gámur fullur af tengdum auðkennum er gjafakarfa með nafnrýmum. Sú opnunargáta hefur svar. Hleðslubrestur segir þér hvar keyrsla stöðvaðist. Fyrri leiðbeiningar gætu þegar hafa keyrt.

3:08 Hafðu leyndarmálin utan seilingar áður en þú opnar pakkann. Niðurstaða, undir húddinu.

Hvers vegna myndi ég stimpla þetta sem "NEEDS REVIEW"?

3:16 hleðsluaðila. Frítt niðurhal ætti að fylgja líkan, og gestalistinn ætti að vera mín ákvörðun. Ef þú vilt frekar lesa þetta en heyra mig segja það, þá lendir "diff" í pósthólfinu þínu á hverjum morgni, ókeypis á the daily diff dot dev, hlekkur hér að neðan. Og það er "diff" fyrir daginn. Ég er Niko frá Axrisi. Sameinaðu á ábyrgan hátt.

Heimildir

1. Data Scientists Targeted by Malicious Hugging Face ML Models with Silent BackdoorJFrog
2. Malicious ML models discovered on Hugging Face platformReversingLabs
3. AI Model Confusion: An LLM/AI Model Supply Chain AttackCheckmarx Zero
4. Pickle ScanningHugging Face
5. SafetensorsHugging Face
6. Loading custom modelsHugging Face
7. Serialization semanticsPyTorch