Hugging Face-ის მოდელის ფაილებს შეუძლიათ დამალული კოდის გაშვება

რას მოიცავს ეს ვიდეო

• რიცხვითი მოდელის წონა, შესრულებადი სერიალიზაცია და მორგებული საცავის კოდი სხვადასხვა რამ არის.
• JFrog-მა და ReversingLabs-მა დააფიქსირეს უკუქცევის გარსის დატვირთვები; მათი შერჩეული მოხსენებები არ ასახავს სერთიფიკატების ქურდობას დასახელებული მსხვერპლებისგან.
• Checkmarx-ის მოდელის დაბნეულობა იყო კვლევითი დემონსტრაცია, რომელიც მოითხოვდა შესატყვის დისტანციურ მოდელს და არაუსაფრთხო ჩატვირთვას.
• უპირატესობა მიანიჭეთ safetensors-ს და პატჩირებულ ჩამტვირთავებს, გადახედეთ და დაამაგრეთ მორგებული კოდი და გამოყავით უცნობი პაკეტები პირადი საიდუმლოებებისგან და ზედმეტი ქსელური წვდომისგან.

ნათარგმნი ტრანსკრიპტი

ნათარგმნია ორიგინალური ინგლისური ნარატივიდან. ხელმისაწვდომი აუდიო და სუბტიტრები კონტროლდება YouTube-ის მიერ.

როგორ შეიძლება მოდელის ჩამოტვირთვამ სტუმარი მოიწვიოს?

0:00 მოდელის ფაილი უბრალოდ ციფრებია დისკზე. ერთი მავნე Hugging Face პაკეტის ჩატვირთვამ გახსნა დისტანციური გარსი, რაც ადგილობრივი AI-ის ამბიციური ინტერპრეტაციაა. როგორ ხდება ჩატვირთვა შესრულება? რა საიდუმლოებებს შეუძლია მიწვდეს? რა აჩერებს მას რეალურად? და გაითვალისწინეთ ერთი თავსატეხი. მოდელს შეიძლება ვერ ჩაიტვირთოს მას შემდეგ, რაც საშიში ნაწილი უკვე მოხდა.

0:18 ეს არის The Daily Diff, კულისებს მიღმა. Hugging Face არის პლატფორმა მანქანური სწავლის მოდელების გასაზიარებლად, მონაცემთა ნაკრებებისა და აპლიკაციების. მოდელის წონა არის ნასწავლი რიცხვები. საცავს ასევე შეუძლია შეიცავდეს კონფიგურაციას და Python კოდს. საფრთხე აქ არის შესრულებადი შეფუთვა, რომელიც თქვენს კომპიუტერში ხვდება, როდესაც თქვენ მას ტვირთავთ. Pickle ინახავს Python ობიექტებს მათი აღდგენის ინსტრუქციებით.

როგორ მართავს ჩამტვირთავი ამანათის ინსტრუქციებს?

0:37 არაუსაფრთხო ჩამტვირთავმა შეიძლება მიჰყვეს ამ ინსტრუქციებს და გამოიძახოს ფუნქციები ამოხსნის დროს. ბაიტების ჩამოტვირთვა ამანათს თქვენს დისკზე ათავსებს. დესერიალიზაცია მას ხსნის. სადღაც, ფაილის ფორმატი დაწინაურდა ანაზღაურების გარეშე სისტემის ადმინისტრატორად. JFrog-მა Goober Two-ის შესახებ იტყობინება 2024 წლის თებერვალში. მისმა Pickle-ის დატვირთვამ გახსნა უკუქცევის გარსი, რომელიც გარედან უკავშირდებოდა დისტანციური ბრძანების წვდომის შეთავაზებას. საცავი წაიშალა. JFrog-მა ასევე აღმოაჩინა მინიშნებები, რომლებიც მკვლევართა ჩართულობაზე მიუთითებდა,

1:02 ამიტომ მიწერა გაურკვეველია. არასასურველი სტუმარი დოკუმენტირებული იყო. რეალური მსხვერპლებისგან სერთიფიკატების ქურდობა არ დადგინდა.

რა საიდუმლოებებია პროცესის ხელმისაწვდომობის ფარგლებში?

1:09 კოდს, რომელიც თქვენს მომხმარებელად მუშაობს, შეუძლია წაიკითხოს ყველაფერი, რისი წაკითხვაც ამ პროცესს შეუძლია. დამონტაჟებული ღრუბლოვანი გასაღები ან ხელმისაწვდომი ტოკენი ხდება შესაძლო სამიზნე. მისი გაგზავნა ასევე მოითხოვს ქსელის მუშა მარშრუტს. მხოლოდ რიცხვით წონას არ აქვს ჯადოსნური სერთიფიკატების ძალა. თქვენი ნებართვები უზრუნველყოფს მოდელის ბარათის საინტერესო ნაწილს. არის კიდევ ერთი კარი. ზოგიერთი მოდელი გთხოვთ, ენდოთ დისტანციურ კოდს, რომელიც ავტორიზაციას უკეთებს Python-ს საცავიდან. უსაფრთხო სენსორული ფაილები შეიძლება განთავსდეს ამ კოდის გვერდით.

1:32 წონის ფორმატის შემოწმება მოიცავს ერთ შესასვლელს, ხოლო საცავის კოდი კვლავ გელოდებათ, რომ მას სტუმრის სამკერდე ნიშანი გადასცეთ.

რატომ შეიძლება დაკარგული ადგილობრივი გზა გახდეს დისტანციური მოდელი?

1:38 Checkmarx-მა აჩვენა მოდელის დაბნეულობა. დაკარგული ადგილობრივი მოდელის გზა შეიძლება გადაწყდეს საჯარო საცავში, შესაბამისი სახელით. დააკავშირეთ ეს დისტანციურ კოდთან ჩართული, და არასწორ პაკეტს შეუძლია შესრულება. ეს იყო კვლევითი დემონსტრაცია, რომელიც მოიცავდა უსახელო კომპანიის ნიმუშს, გამოსწორებული ერთ დღეში. დაკარგულმა საქაღალდემ მესაკუთრე შეიძინა. ReversingLabs-მა 2025 წლის თებერვალში ორი ნიმუშის შესახებ იტყობინება,

როგორ აარიდეს თავი გატეხილმა პაკეტებმა ძველ სკანერს?

1:58 ტექნიკას nullify AI უწოდა. ორივე შეიცავდა უკუქცევის გარსებს. მათმა 7-zip შეფუთვამ დაბლოკა ჩვეულებრივი PyTorch-ის ჩატვირთვა, ამიტომ ეს გზა მოითხოვდა ამოღებას და არაუსაფრთხო დესერიალიზაციას. გატეხილმა Pickle-ის ნაკადებმა ასევე გამოავლინა სკანერის ბრმა წერტილი. წარუმატებელი სკანირება გამოძიებას იმსახურებს, სანამ ვინმე ამანათს გახსნის. მკვლევარების უვნებელ ტესტში, ინსტრუქციები ფაილს წერდა, სანამ ჩამტვირთავი

2:18 გატეხილ ნაწილამდე მიაღწევდა და შეცდომას გამოაგდებდა. წარმოიდგინეთ, რომ ხსნით ამანათს, უშვებთ ენოტს, შემდეგ კი ამჩნევთ, რომ გადაზიდვის იარლიყი არასწორია. შეცდომის შეტყობინება შესანიშნავი გრამატიკით და საშინელი დროით მოდის. Hugging Face-მა ამოიღო მოხსენებული ნიმუშები 24 საათის განმავლობაში და შეცვალა სკანერი. ამ კონკრეტულმა აღმოჩენამ გამოიწვია გამოსწორება. უსაფრთხოების სკანირება სასარგებლო მტკიცებულებაა, და ყოველი სკანერის შეცდომის სუფთა ჯანმრთელობის ბილეთად მიჩნევა კვლავ რჩება მარად გულუხვი ინტერპრეტაცია წარუმატებლობის.

2:43 უპირატესობა მიანიჭეთ უსაფრთხო სენსორებს და მიმდინარე პატჩირებულ ჩამტვირთავებს.

რა ინახავს გასაღებს სტუმრის ხელმისაწვდომობის მიღმა?

2:46 PyTorch-მა შეავიწროვა მისი ნაგულისხმევი ჩამტვირთავი ვერსია 2.6-დან დაწყებული. გადახედეთ მორგებულ კოდს და დააფიქსირეთ გადამოწმებული რევიზია. გაუშვით უცნობი პაკეტები იზოლაციაში პირადი გასაღებების გარეშე, შეზღუდული ქსელური წვდომით. დამონტაჟებული სერთიფიკატებით სავსე კონტეინერი არის სასაჩუქრე კალათა სახელთა სივრცეებით. ამ გახსნის თავსატეხს აქვს პასუხი. ჩატვირთვის შეცდომა გეუბნებათ, სად შეჩერდა შესრულება. ადრინდელი ინსტრუქციები შესაძლოა უკვე შესრულებული იყოს.

3:08 საიდუმლოებები მის მიღმა შეინახეთ ამანათის გახსნამდე. განაჩენი, კულისებს მიღმა.

რატომ უნდა დავამატო ეს NEEDS REVIEW?

3:16 ჩამტვირთავი. უფასო ჩამოტვირთვას უნდა მოჰყვეს მოდელი, და სტუმრების სია უნდა დარჩეს ჩემი გადაწყვეტილება. თუ ამის წაკითხვა გირჩევნიათ, ვიდრე ჩემი მოსმენა, განსხვავება თქვენს შემოსულებში ხვდება ყოველ დილით, უფასოდ daily diff dot dev-ზე, ბმული ქვემოთ. და ეს არის დღევანდელი განსხვავება. მე ვარ ნიკო Axrisi-დან. გაერთიანდით პასუხისმგებლობით.

წყაროები

1. Data Scientists Targeted by Malicious Hugging Face ML Models with Silent BackdoorJFrog
2. Malicious ML models discovered on Hugging Face platformReversingLabs
3. AI Model Confusion: An LLM/AI Model Supply Chain AttackCheckmarx Zero
4. Pickle ScanningHugging Face
5. SafetensorsHugging Face
6. Loading custom modelsHugging Face
7. Serialization semanticsPyTorch