# Hugging Face modeļu faili var palaist slēptu kodu

Published: 2026-10-12

Ļaunprātīgi modeļu pakotnes var izpildīt kodu nedrošas ielādes laikā. Trīs dokumentēti piemēri izskaidro "Pickle" reverso čaulas, bojātu failu skenera uzvedību un pētījumos demonstrētu modeļa nosaukumu sajaukumu, ar skaidrām robežām attiecībā uz akreditācijas datu zādzības apgalvojumiem.

Canonical: https://thedailydiff.dev/lv/video/2026-10-12-huggingface-model-malware/

## Ko aptver šis video

- Skaitliski modeļu svari, izpildāma serializācija un pielāgots repozitorija kods ir dažādas lietas.
- JFrog un ReversingLabs dokumentēja reverso čaulu ielādes; to atlasītie ziņojumi neapstiprina akreditācijas datu zādzību no nosauktiem upuriem.
- Checkmarx modeļu sajaukums bija pētījumu demonstrācija, kas prasīja atbilstošu attālo modeli un nedrošu ielādi.
- Dodiet priekšroku safetensors un ielāpotiem ielādētājiem, pārskatiet un piefiksējiet pielāgotu kodu, un izolējiet nepazīstamas pakotnes no personīgajiem noslēpumiem un nevajadzīgas piekļuves tīklam.

## Nodaļas

- 0:00 Kā modeļa lejupielāde var uzaicināt viesi?
- 0:35 Kā ielādētājs izpilda sūtījuma instrukcijas?
- 1:09 Kuri noslēpumi ir procesa sasniedzamībā?
- 1:38 Kāpēc trūkstošs lokālais ceļš var kļūt par attālo modeli?
- 1:55 Kā bojātas pakotnes izvairījās no vecā skenera?
- 2:44 Kas neļauj atslēgai nokļūt viesa rokās?
- 3:12 Kāpēc es atzīmētu šo kā JĀPĀRSKATA?

## Tulkotais transkripts

Tulkojums no oriģinālā angļu stāstījuma. Pieejamais audio un subtitri tiek kontrolēti no YouTube.

### Kā modeļa lejupielāde var uzaicināt viesi?

0:00 Modeļa fails ir tikai skaitļi diskā. Ielādējot vienu ļaunprātīgu Hugging Face pakotni, tika atvērta attālā čaula, kas ir ambicioza vietējā AI interpretācija. Kā ielāde kļūst par izpildi? Kādus noslēpumus tā var sasniegt? Kas to patiesībā aptur? Un paturiet prātā vienu mīklu. Modelis var neielādēties pēc tam, kad bīstamā daļa jau ir notikusi.

0:18 Tas ir The Daily Diff, no iekšienes. Hugging Face ir platforma mašīnmācīšanās modeļu koplietošanai, datu kopām un lietojumprogrammām. Modeļa svari ir apgūtie skaitļi. Repozitorijā var būt arī konfigurācija un Python kods. Bīstamība ir izpildāmā iepakojuma nonākšana jūsu datorā, kad jūs to ielādējat. Pickle glabā Python objektus ar instrukcijām to atjaunošanai.

### Kā ielādētājs izpilda sūtījuma instrukcijas?

0:37 Nedrošs ielādētājs var sekot šīm instrukcijām un izsaukt funkcijas izpakošanas laikā. Baitu lejupielāde novieto sūtījumu jūsu diskā. Deserializācija to atver. Kaut kur faila formāts ir paaugstināts par neapmaksātu sistēmas administratoru. JFrog ziņoja par Goober Two divi tūkstoši divdesmit ceturta gada februārī. Tā Pickle kravas pakete atvēra reverso čaulu, savienojoties ar ārpusi, lai nodrošinātu attālu komandu piekļuvi. Repozitorijs tika dzēsts. JFrog atrada arī pavedienus, kas liecināja par pētnieku iesaisti,

1:02 tāpēc atribūcija ir neskaidra. Nevēlamais viesis tika dokumentēts. Akreditācijas datu zādzība no faktiskajiem upuriem netika apstiprināta.

### Kuri noslēpumi ir procesa sasniedzamībā?

1:09 Kods, kas darbojas kā jūsu lietotājs, var lasīt visu, ko šis process var lasīt. Pieslēgta mākoņa atslēga vai pieejams marķieris kļūst par iespējamu mērķi. Lai to nosūtītu, nepieciešams arī darbojošs tīkla maršruts. Tikai skaitliskajiem svariem nav maģisku akreditācijas datu spēju. Jūsu atļaujas nodrošina modeļa kartes interesanto daļu. Ir vēl viena durvis. Daži modeļi lūdz jums uzticēties attālajam kodam, kas atļauj Python no repozitorija. Droši sensoru faili var atrasties blakus šim kodam.

1:32 Svara formāta pārbaude aptver vienu ieeju, kamēr repozitorija kods joprojām gaida, kad jūs tam pasniegsiet apmeklētāja nozīmīti.

### Kāpēc trūkstošs lokālais ceļš var kļūt par attālo modeli?

1:38 Checkmarx demonstrēja modeļu sajaukumu. Trūkstošs lokālais modeļa ceļš varētu atrisināties par publisku repozitoriju ar atbilstošu nosaukumu. Apvienojiet to ar attālo kodu iespējotu, un nepareiza pakotne var tikt izpildīta. Šī bija pētījumu demonstrācija, kas ietvēra nenosauktas kompānijas paraugu, kas tika labots vienas dienas laikā. Trūkstošajai mapei parādījās īpašnieks. ReversingLabs ziņoja par diviem paraugiem divi tūkstoši divdesmit piektā gada februārī,

### Kā bojātas pakotnes izvairījās no vecā skenera?

1:58 nosaucot tehniku par nullify AI. Abos bija reversās čaulas. To septiņi zip iepakojums bloķēja parasto PyTorch ielādi, tāpēc šim ceļam bija nepieciešama ekstrakcija un nedroša deserializācija. Bojāti Pickle plūsmas atklāja arī skenera aklā zonu. Neveiksmīga skenēšana ir jāizmeklē, pirms kāds atver sūtījumu. Pētnieku nekaitīgajā testā instrukcijas uzrakstīja failu, pirms ielādētājs

2:18 sasniegtu bojāto daļu un izraisītu kļūdu. Iedomājieties, ka atverat sūtījumu, izlaižat jenotsuni, un tad pamanāt, ka sūtīšanas etiķete ir nederīga. Kļūdas ziņojums pienāk ar izcilu gramatiku un briesmīgu laiku. Hugging Face noņēma ziņotos paraugus divdesmit četru stundu laikā un mainīja skeneri. Šis konkrētais atklājums pamudināja veikt labojumu. Drošības skenēšana ir noderīgs pierādījums, un katras skenera kļūdas uzskatīšana par tīru veselības apliecinājumu joprojām ir ārkārtīgi dāsna neveiksmes interpretācija.

2:43 Dodiet priekšroku drošiem sensoriem un pašreizējiem ielāpotiem ielādētājiem.

### Kas neļauj atslēgai nokļūt viesa rokās?

2:46 PyTorch sašaurināja savu noklusējuma ielādētāju, sākot ar versiju divi punkts seši. Pārskatiet pielāgoto kodu un piefiksējiet pārskatīto versiju. Palaidiet nepazīstamas pakotnes izolācijā bez personīgajām atslēgām, ar ierobežotu piekļuvi tīklam. Konteiners, pilns ar pievienotiem akreditācijas datiem, ir dāvanu grozs ar nosaukumvietām. Šai sākuma mīklai ir atbilde. Ielādes kļūme norāda, kur izpilde apstājās. Iepriekšējās instrukcijas varbūt jau ir izpildītas.

3:08 Glabājiet noslēpumus ārpus tās sasniedzamības, pirms atverat sūtījumu. Spriedums, no iekšienes.

### Kāpēc es atzīmētu šo kā JĀPĀRSKATA?

3:16 ielādētājs. Bezmaksas lejupielādei jānāk ar modeli, un viesu sarakstam jāpaliek manā ziņā. Ja jūs labprātāk to izlasītu, nevis dzirdētu no manis, tad diff nonāk jūsu iesūtnē katru rītu, bez maksas vietnē the daily diff dot dev, saite zemāk. Un tas ir šodienas diff. Esmu Niko no Axrisi. Apvienojiet atbildīgi.

## Avoti

- [Data Scientists Targeted by Malicious Hugging Face ML Models with Silent Backdoor](https://jfrog.com/blog/data-scientists-targeted-by-malicious-hugging-face-ml-models-with-silent-backdoor/) — JFrog
- [Malicious ML models discovered on Hugging Face platform](https://www.reversinglabs.com/blog/rl-identifies-malware-ml-model-hosted-on-hugging-face) — ReversingLabs
- [AI Model Confusion: An LLM/AI Model Supply Chain Attack](https://checkmarx.com/zero-post/hugs-from-strangers-ai-model-confusion-supply-chain-attack/) — Checkmarx Zero
- [Pickle Scanning](https://huggingface.co/docs/hub/en/security-pickle) — Hugging Face
- [Safetensors](https://huggingface.co/docs/safetensors/en/index) — Hugging Face
- [Loading custom models](https://huggingface.co/docs/transformers/en/models) — Hugging Face
- [Serialization semantics](https://docs.pytorch.org/docs/2.14/notes/serialization.html) — PyTorch