# Моделските датотеки на Hugging Face можат да извршат скриен код

Published: 2026-10-12

Злонамерните моделски пакети можат да извршат код за време на небезбедно вчитување. Три документирани примери објаснуваат Pickle reverse shells, однесување на скенер за оштетени датотеки и истражување-демонстрирана конфузија на имињата на моделите, со јасни ограничувања на тврдењата за кражба на ингеренции.

Canonical: https://thedailydiff.dev/mk/video/2026-10-12-huggingface-model-malware/

## Што покрива ова видео

- Нумеричките тежини на моделот, извршната серијализација и сопствениот код на складиштето се различни работи.
- JFrog и ReversingLabs документираа reverse-shell товари; нивните избрани извештаи не утврдуваат кражба на ингеренции од именувани жртви.
- Checkmarx Model Confusion беше истражувачка демонстрација која бараше соодветен далечински модел и небезбедно вчитување.
- Преферирајте safetensors и закрпени вчитувачи, прегледајте и закачете сопствен код и изолирајте ги непознатите пакети од лични тајни и непотребен мрежен пристап.

## Поглавја

- 0:00 Како може преземањето модел да покани гостин?
- 0:35 Како вчитувачот ги извршува упатствата на пакетот?
- 1:09 Кои тајни се на дофат на процесот?
- 1:38 Зошто исчезнатата локална патека може да стане далечински модел?
- 1:55 Како оштетените пакети го избегнаа стариот скенер?
- 2:44 Што го држи клучот надвор од дофат на гостинот?
- 3:12 Зошто би го означил ова со ПОТРЕБЕН ПРЕГЛЕД?

## Преведен транскрипт

Преведено од оригиналната англиска нарација. Достапното аудио и наслови се контролирани од YouTube.

### Како може преземањето модел да покани гостин?

0:00 Датотеката со модел е само бројки на диск. Вчитувањето на еден злонамерен Hugging Face пакет отвори далечинска школка, што е амбициозна интерпретација на локална вештачка интелигенција. Како вчитувањето станува извршување? Кои тајни може да ги достигне? Што всушност го спречува? И имајте една загатка на ум. Моделот може да не се вчита откако опасниот дел веќе се случил.

0:18 Ова е The Daily Diff, под хауба. Hugging Face е платформа за споделување модели за машинско учење, збирки на податоци и апликации. Тежините на моделот се научените бројки. Складиштето може да содржи и конфигурација и Python код. Опасноста овде е извршно пакување кое влегува во вашиот компјутер кога ќе го вчитувате. Pickle ги зачувува Python објектите со упатства за нивно повторно градење.

### Како вчитувачот ги извршува упатствата на пакетот?

0:37 Небезбеден вчитувач може да ги следи тие упатства и да повикува функции додека се распакува. Преземањето на бајтите го става пакетот на вашиот диск. Десеријализацијата го отвора. Некаде, формат на датотека е промовиран во неплатен системски администратор. JFrog извести за Goober Two во февруари две илјади дваесет и четврта. Неговиот Pickle товар отвори reverse shell, поврзувајќи се надворешно за да понуди далечински пристап до команди. Складиштето беше избришано. JFrog исто така пронајде индиции кои сугерираат вклученост на истражувач,

1:02 така што атрибуцијата е неизвесна. Несаканиот гостин беше документиран. Кражбата на ингеренции од вистински жртви не беше утврдена.

### Кои тајни се на дофат на процесот?

1:09 Кодот што работи како ваш корисник може да чита се што може да чита тој процес. Монтиран облак клуч или достапен токен станува можна цел. Испраќањето исто така бара работна мрежна рута. Само нумеричките тежини немаат магични овластувања за ингеренции. Вашите дозволи го обезбедуваат интересниот дел од моделската картичка. Има уште една врата. Некои модели бараат од вас да му верувате на далечински код, кој го овластува Python од складиштето. Безбедните датотеки со тензори можат да стојат покрај тој код.

1:32 Проверката на форматот на тежината покрива еден влез, додека кодот на складиштето сè уште чека да му дадете значка за посетител.

### Зошто исчезнатата локална патека може да стане далечински модел?

1:38 Checkmarx демонстрираше Model Confusion. Исчезната локална патека на моделот може да се реши во јавно складиште со соодветно име. Комбинирајте го тоа со далечински код овозможен, и погрешниот пакет може да се изврши. Ова беше истражувачка демонстрација која вклучуваше примерок од неименувана компанија, коригиран во рок од еден ден. Исчезната папка доби сопственик. ReversingLabs објави два примероци во февруари две илјади дваесет и петтата,

### Како оштетените пакети го избегнаа стариот скенер?

1:58 нарекувајќи ја техниката nullify AI. И двете содржеа reverse shells. Нивното пакување од седум zip го блокираше обичното PyTorch вчитување, така што оваа патека бараше екстракција и небезбедна десеријализација. Оштетените Pickle струи исто така изложија слепа точка на скенерот. Неуспешното скенирање заслужува истрага пред некој да го отвори пакетот. Во безопасниот тест на истражувачите, упатствата напишаа датотека пред вчитувачот

2:18 да стигне до оштетениот дел и да подигне грешка. Замислете да отворите пакет, да го ослободите ракунот, а потоа да забележите дека етикетата за испорака е неважечка. Пораката за грешка пристигнува со одлична граматика и ужасно време. Hugging Face ги отстрани пријавените примероци во рок од дваесет и четири часа и го смени скенерот. Тоа специфично откритие поттикна поправка. Безбедносното скенирање е корисен доказ, а третирањето на секоја грешка на скенерот како чиста потврда за здравје останува неверојатно дарежлива интерпретација на неуспех.

2:43 Преферирајте безбедни тензори и тековни закрпени вчитувачи.

### Што го држи клучот надвор од дофат на гостинот?

2:46 PyTorch го стесни својот стандарден вчитувач почнувајќи од верзијата две точка шест. Прегледајте го сопствениот код и закачете ја прегледаната ревизија. Стартувајте непознати пакети во изолација без лични клучеви, со ограничен мрежен пристап. Контејнер полн со монтирани ингеренции е корпа за подароци со именски простори. Таа воведна загатка има одговор. Неуспехот при вчитувањето ви кажува каде престана извршувањето. Претходните упатства можеби веќе се извршени.

3:08 Чувајте ги тајните надвор од неговиот дофат пред да го отворите пакетот. Пресуда, под хауба.

### Зошто би го означил ова со ПОТРЕБЕН ПРЕГЛЕД?

3:16 вчитувач. Бесплатното преземање треба да дојде со модел, а списокот на гости треба да остане моја одлука. Ако повеќе сакате да го прочитате ова отколку да ме слушнете како го кажувам, дифузијата пристигнува во вашето сандаче секое утро, бесплатно на daily diff dot dev, линк подолу. И тоа е дифузијата за денес. Јас сум Нико од Axrisi. Спојувајте одговорно.

## Извори

- [Data Scientists Targeted by Malicious Hugging Face ML Models with Silent Backdoor](https://jfrog.com/blog/data-scientists-targeted-by-malicious-hugging-face-ml-models-with-silent-backdoor/) — JFrog
- [Malicious ML models discovered on Hugging Face platform](https://www.reversinglabs.com/blog/rl-identifies-malware-ml-model-hosted-on-hugging-face) — ReversingLabs
- [AI Model Confusion: An LLM/AI Model Supply Chain Attack](https://checkmarx.com/zero-post/hugs-from-strangers-ai-model-confusion-supply-chain-attack/) — Checkmarx Zero
- [Pickle Scanning](https://huggingface.co/docs/hub/en/security-pickle) — Hugging Face
- [Safetensors](https://huggingface.co/docs/safetensors/en/index) — Hugging Face
- [Loading custom models](https://huggingface.co/docs/transformers/en/models) — Hugging Face
- [Serialization semantics](https://docs.pytorch.org/docs/2.14/notes/serialization.html) — PyTorch