हगिंग फेस मॉडेल फाइल्स छुपे कोड चालवू शकतात

या व्हिडिओमध्ये काय समाविष्ट आहे

• संख्यात्मक मॉडेल वेट्स, एक्झिक्यूटेबल सीरियलायझेशन आणि कस्टम रिपॉझिटरी कोड वेगवेगळ्या गोष्टी आहेत.
• JFrog आणि ReversingLabs ने रिव्हर्स-शेल पेलोड्सचे दस्तऐवजीकरण केले; त्यांच्या निवडक अहवालांमध्ये नामांकित पीडितांकडून क्रेडेन्शियल चोरी झाल्याचे सिद्ध होत नाही.
• Checkmarx मॉडेल कन्फ्यूजन हे एक संशोधन प्रदर्शन होते ज्यासाठी जुळणारे रिमोट मॉडेल आणि असुरक्षित लोडिंग आवश्यक होते.
• सुरक्षित टेंसर आणि पॅच केलेले लोडर वापरण्यास प्राधान्य द्या, कस्टम कोडचे पुनरावलोकन करा आणि पिन करा, आणि अपरिचित पॅकेजेसना वैयक्तिक रहस्ये आणि अनावश्यक नेटवर्क ॲक्सेसपासून वेगळे ठेवा.

अनुवादित प्रतिलेख

मूळ इंग्रजी निवेदनातून अनुवादित. उपलब्ध ऑडिओ आणि मथळे YouTube द्वारे नियंत्रित आहेत.

मॉडेल डाउनलोड पाहुण्याला कसे आमंत्रित करू शकते?

0:00 मॉडेल फाइल म्हणजे डिस्कवरील फक्त संख्या. एक दुर्भावनापूर्ण Hugging Face पॅकेज लोड केल्याने रिमोट शेल उघडले, जे स्थानिक AI चे एक महत्त्वाकांक्षी स्पष्टीकरण आहे. लोडिंग एक्झिक्यूशन कसे होते? ते कोणत्या रहस्यांपर्यंत पोहोचू शकते? प्रत्यक्षात ते काय थांबवते? आणि एक कोडे लक्षात ठेवा. धोकादायक भाग आधीच घडल्यानंतर एक मॉडेल लोड होण्यात अयशस्वी होऊ शकते.

0:18 हे आहे The Daily Diff, पडद्यामागील. Hugging Face हे मशीन लर्निंग मॉडेल्स सामायिक करण्यासाठी एक प्लॅटफॉर्म आहे, डेटासेट्स आणि ॲप्लिकेशन्स. मॉडेल वेट्स हे शिकलेल्या संख्या आहेत. एक रिपॉझिटरी कॉन्फिगरेशन आणि पायथन कोड देखील असू शकते. येथे धोका हा आहे की जेव्हा तुम्ही ते लोड करता तेव्हा एक्झिक्यूटेबल पॅकेजिंग तुमच्या संगणकात प्रवेश करते. पिकल पायथन ऑब्जेक्ट्सला त्यांना पुन्हा तयार करण्यासाठी सूचनांसह संग्रहित करते.

लोडर पार्सलच्या सूचना कशा चालवतो?

0:37 एक असुरक्षित लोडर त्या सूचनांचे पालन करू शकतो आणि अनपॅक करताना फंक्शन्स कॉल करू शकतो. बायट्स डाउनलोड केल्याने पार्सल तुमच्या डिस्कवर ठेवले जाते. डिसेरियलायझिंग ते उघडते. कुठेतरी, एका फाइल फॉरमॅटला न भरलेल्या सिस्टम ॲडमिनिस्ट्रेटरपदी पदोन्नत केले गेले आहे. JFrog ने फेब्रुवारी २०२४ मध्ये Goober Two ची नोंद केली. त्याच्या पिकल पेलोडने एक रिव्हर्स शेल उघडले, रिमोट कमांड ॲक्सेस देण्यासाठी बाहेरून कनेक्ट केले. रिपॉझिटरी हटवण्यात आली होती. JFrog ला संशोधकांच्या सहभागाची सूचना देणारे पुरावे देखील मिळाले,

1:02 त्यामुळे श्रेय अनिश्चित आहे. अवांछित पाहुणा दस्तऐवजीकरण केला गेला होता. प्रत्यक्ष पीडितांकडून क्रेडेन्शियल चोरी झाल्याचे सिद्ध झाले नाही.

प्रोसेसच्या आवाक्यात कोणती रहस्ये आहेत?

1:09 तुमच्या वापरकर्त्याच्या रूपात चालू असलेला कोड तो प्रोसेस वाचू शकणारे काहीही वाचू शकतो. माउंटेड क्लाउड की किंवा ॲक्सेसिबल टोकन एक संभाव्य लक्ष्य बनते. ते बाहेर पाठवण्यासाठी एक कार्यरत नेटवर्क मार्ग देखील आवश्यक आहे. केवळ संख्यात्मक वेट्सकडे कोणतीही जादुई क्रेडेन्शियल शक्ती नसते. तुमच्या परवानग्या मॉडेल कार्डचा मनोरंजक भाग पुरवतात. आणखी एक दरवाजा आहे. काही मॉडेल्स तुम्हाला रिमोट कोडवर विश्वास ठेवण्यास सांगतात, जे रिपॉझिटरीमधून पायथनला अधिकृत करते. सुरक्षित टेंसर फाइल्स त्या कोडच्या बाजूला असू शकतात.

1:32 वेट फॉरमॅट तपासणे एका प्रवेशद्वाराला कव्हर करते, तर रिपॉझिटरीचा कोड अजूनही तुम्हाला त्याला अभ्यागत बॅज देण्याची वाट पाहत आहे. Checkmarx ने मॉडेल कन्फ्यूजनचे प्रदर्शन केले.

हरवलेला स्थानिक मार्ग रिमोट मॉडेल का बनू शकतो?

1:38 हरवलेला स्थानिक मॉडेल मार्ग समान नावाच्या सार्वजनिक रिपॉझिटरीकडे निराकरण करू शकतो. ते रिमोट कोडसह एकत्र करा सक्षम केले, आणि चुकीचे पॅकेज कार्यान्वित होऊ शकते. हे एका अनामित कंपनीच्या नमुन्याचे संशोधन प्रदर्शन होते, जे एका दिवसात दुरुस्त केले गेले. एका हरवलेल्या फोल्डरला एक मालक मिळाला. ReversingLabs ने फेब्रुवारी २०२५ मध्ये दोन नमुन्यांची नोंद केली, या तंत्राला nullify AI असे म्हटले.

तुटलेली पॅकेजेस जुन्या स्कॅनरला कशी चुकवू शकली?

1:58 दोघांमध्ये रिव्हर्स शेल्स होते. त्यांच्या ७zip पॅकेजिंगने सामान्य PyTorch लोडिंग ब्लॉक केले, त्यामुळे या मार्गासाठी एक्सट्रॅक्शन आणि असुरक्षित डिसेरियलायझेशन आवश्यक होते. तुटलेल्या पिकल स्ट्रीम्सने स्कॅनरच्या कमतरतेचे प्रदर्शन केले. पार्सल उघडण्यापूर्वी अयशस्वी स्कॅनची तपासणी करणे आवश्यक आहे. संशोधकांच्या निरुपद्रवी चाचणीत, सूचनांनी लोडर तुटलेल्या भागापर्यंत पोहोचण्यापूर्वी आणि त्रुटी निर्माण करण्यापूर्वी एक फाइल लिहिली. एखादे पार्सल उघडण्याची कल्पना करा, रॅकूनला बाहेर काढणे, नंतर शिपिंग लेबल अवैध असल्याचे लक्षात येणे.

2:18 त्रुटी संदेश उत्कृष्ट व्याकरण आणि भयंकर वेळेसह येतो. Hugging Face ने २४ तासांच्या आत नोंदवलेले नमुने काढून टाकले आणि स्कॅनर बदलला. त्या विशिष्ट शोधामुळे एक उपाय तयार झाला. एक सुरक्षा स्कॅन उपयुक्त पुरावा आहे, आणि प्रत्येक स्कॅनर त्रुटीला निरोगी असल्याचा पुरावा मानणे हे अपयशाचे उल्लेखनीय उदार स्पष्टीकरण आहे. सुरक्षित टेंसर आणि सध्याच्या पॅच केलेल्या लोडरना प्राधान्य द्या. PyTorch ने त्याच्या डीफॉल्ट लोडरला आवृत्ती २.६ पासून मर्यादित केले. कस्टम कोडचे पुनरावलोकन करा आणि पुनरावलोकन केलेली आवृत्ती पिन करा. अपरिचित पॅकेजेस वैयक्तिक कीजशिवाय, प्रतिबंधित नेटवर्क ॲक्सेससह

2:43 एकटे चालवा.

पाहुण्याच्या आवाक्याबाहेर चावी काय ठेवते?

2:46 माउंटेड क्रेडेन्शियल्सने भरलेले कंटेनर हे नेम्सपेसेससह एक भेटवस्तू बास्केट आहे. त्या सुरुवातीच्या कोड्याचे उत्तर आहे. लोडिंग अपयश तुम्हाला एक्झिक्यूशन कुठे थांबले हे सांगते. आधीच्या सूचना आधीच चालल्या असाव्यात. पार्सल उघडण्यापूर्वी रहस्ये त्याच्या आवाक्याबाहेर ठेवा. निकाल, पडद्यामागील. लोडर. मोफत डाउनलोडसह एक मॉडेल यायला हवे, आणि पाहुण्यांची यादी माझा निर्णय असावी. जर तुम्हाला हे ऐकण्याऐवजी वाचायचे असेल, तर diff तुमच्या इनबॉक्समध्ये दररोज सकाळी मोफत the daily diff dot dev वर येते, लिंक खाली दिली आहे.

3:08 आणि आजचा हा diff आहे. मी ॲक्स्रिसीहून निको आहे.

मी याला NEEDS REVIEW असे का लावेल?

3:16 जबाबदारीने विलीन करा. A model file is just numbers on disk. Loading one malicious Hugging Face package opened a remote shell, which is an ambitious interpretation of local AI. How does loading become execution? Which secrets can it reach? What actually stops it?

स्रोत

1. Data Scientists Targeted by Malicious Hugging Face ML Models with Silent BackdoorJFrog
2. Malicious ML models discovered on Hugging Face platformReversingLabs
3. AI Model Confusion: An LLM/AI Model Supply Chain AttackCheckmarx Zero
4. Pickle ScanningHugging Face
5. SafetensorsHugging Face
6. Loading custom modelsHugging Face
7. Serialization semanticsPyTorch