# हगिङ फेस मोडल फाइलहरूले लुकेको कोड चलाउन सक्छन्

Published: 2026-10-12

दुर्भावनापूर्ण मोडल प्याकेजहरूले असुरक्षित लोडिङका बेला कोड चलाउन सक्छन्। तीनवटा दस्तावेज गरिएका उदाहरणहरूले पिकल रिभर्स शेलहरू, बिग्रिएको फाइल स्क्यानरको व्यवहार र अनुसन्धान-प्रदर्शित मोडल-नामको भ्रमलाई प्रस्ट्याउँछन्, साथै प्रमाण-चोरीका दाबीहरूमा स्पष्ट सीमाहरू छन्।

Canonical: https://thedailydiff.dev/ne/video/2026-10-12-huggingface-model-malware/

## यो भिडियोले के समेट्छ

- संख्यात्मक मोडल वेट, चलाउन मिल्ने सिरियलाइजेशन र अनुकूलित भण्डार कोड फरक-फरक कुरा हुन्।
- JFrog र ReversingLabs ले रिभर्स-शेल पेलोडहरू दस्तावेज गरेका छन्; तिनीहरूका छानिएका रिपोर्टहरूले नाम गरेका पीडितहरूबाट प्रमाण चोरी भएको पुष्टि गर्दैनन्।
- Checkmarx मोडल कन्फ्युजन एक अनुसन्धान प्रदर्शन थियो जसलाई मिल्दोजुल्दो रिमोट मोडल र असुरक्षित लोडिङ आवश्यक थियो।
- सुरक्षित टेन्सरहरू र प्याच गरिएका लोडरहरूलाई प्राथमिकता दिनुहोस्, अनुकूलित कोडको समीक्षा र पिन गर्नुहोस्, र अपरिचित प्याकेजहरूलाई व्यक्तिगत गोप्य कुराहरू र अनावश्यक नेटवर्क पहुँचबाट अलग राख्नुहोस्।

## अध्यायहरू

- 0:00 मोडल डाउनलोडले कसरी पाहुनालाई आमन्त्रित गर्न सक्छ?
- 0:35 लोडरले पार्सलको निर्देशनहरू कसरी चलाउँछ?
- 1:09 प्रक्रियाको पहुँच भित्र कुन गोप्य कुराहरू छन्?
- 1:38 किन हराइरहेको स्थानीय मार्ग रिमोट मोडल बन्न सक्छ?
- 1:55 कसरी बिग्रिएका प्याकेजहरूले पुरानो स्क्यानरलाई छले?
- 2:44 कुन कुराले कुञ्जीलाई पाहुनाको पहुँच बाहिर राख्छ?
- 3:12 मैले यसलाई NEEDS REVIEW किन छाप लगाउनुपर्छ?

## अनुवादित ट्रान्सक्रिप्ट

मूल अंग्रेजी कथाबाट अनुवादित। उपलब्ध अडियो र क्याप्सनहरू YouTube द्वारा नियन्त्रित हुन्छन्।

### मोडल डाउनलोडले कसरी पाहुनालाई आमन्त्रित गर्न सक्छ?

0:00 मोडल फाइल भनेको डिस्कमा भएका संख्या मात्र हो। एउटा दुर्भावनापूर्ण हगिङ फेस प्याकेज लोड गर्दा रिमोट शेल खुल्यो, जुन स्थानीय AI को एक महत्वाकांक्षी व्याख्या हो। लोडिङ कसरी कार्यान्वयन हुन्छ? यसले कुन गोप्य कुराहरूमा पहुँच गर्न सक्छ? केले यसलाई वास्तवमा रोक्छ? र एउटा पहेली दिमागमा राख्नुहोस्। खतरनाक भाग पहिले नै भइसकेपछि मोडल लोड हुन असफल हुन सक्छ।

0:18 यो द डेली डिफ हो, भित्रबाट हेर्दा। हगिङ फेस मेसिन लर्निङ मोडलहरू, डेटासेटहरू र अनुप्रयोगहरू साझा गर्ने प्लेटफर्म हो। मोडल वेटहरू सिकेका संख्याहरू हुन्। एक भण्डारमा कन्फिगरेसन र पाइथन कोड पनि हुन सक्छ। यहाँको खतरा भनेको चलाउन मिल्ने प्याकेजिङ तपाईँको कम्प्युटरमा आउनु हो जब तपाईँले यसलाई लोड गर्नुहुन्छ। पिकलले पाइथन वस्तुहरूलाई तिनीहरूलाई पुन: निर्माण गर्ने निर्देशनहरूसहित भण्डारण गर्छ।

### लोडरले पार्सलको निर्देशनहरू कसरी चलाउँछ?

0:37 एउटा असुरक्षित लोडरले ती निर्देशनहरू पालना गर्न सक्छ र अनप्याक गर्दा प्रकार्यहरू कल गर्न सक्छ। बाइटहरू डाउनलोड गर्दा पार्सल तपाईँको डिस्कमा राख्छ। डिसेरियलाइजिङले यसलाई खोल्छ। कतै, एउटा फाइल ढाँचालाई भुक्तानी नपाएको प्रणाली प्रशासकमा पदोन्नति गरिएको छ। JFrog ले फेब्रुअरी २०२४ मा Goober Two रिपोर्ट गरेको थियो। यसको पिकल पेलोडले रिभर्स शेल खोल्यो, रिमोट आदेश पहुँच प्रदान गर्न बाहिर जोडियो। भण्डार मेटाइएको थियो। JFrog ले अनुसन्धानकर्ताको संलग्नता सुझाव दिने सुरागहरू पनि फेला पारेको थियो,

1:02 त्यसैले श्रेय अनिश्चित छ। अनावश्यक पाहुना दस्तावेज गरिएको थियो। वास्तविक पीडितहरूबाट प्रमाण चोरी स्थापित गरिएको थिएन।

### प्रक्रियाको पहुँच भित्र कुन गोप्य कुराहरू छन्?

1:09 तपाईँको प्रयोगकर्ताको रूपमा चल्ने कोडले त्यो प्रक्रियाले पढ्न सक्ने सबै कुरा पढ्न सक्छ। माउन्ट गरिएको क्लाउड कुञ्जी वा पहुँचयोग्य टोकन सम्भावित लक्ष्य बन्छ। यसलाई बाहिर पठाउन पनि एक कार्यशील नेटवर्क मार्ग चाहिन्छ। संख्यात्मक वेटहरू एक्लैमा कुनै जादुई प्रमाण शक्तिहरू छैनन्। तपाईँका अनुमतिहरूले मोडल कार्डको रोचक भाग आपूर्ति गर्छन्। अर्को ढोका छ। केही मोडलहरूले तपाईँलाई रिमोट कोडमा विश्वास गर्न भन्छन्, जसले भण्डारबाट पाइथनलाई अधिकार दिन्छ। सुरक्षित टेन्सर फाइलहरू त्यो कोडको छेउमा बस्न सक्छन्।

1:32 वेट ढाँचा जाँच गर्दा एउटा प्रवेशद्वार कभर हुन्छ, जबकि भण्डारको कोडले तपाईँले यसलाई आगन्तुक ब्याज दिन पर्खिरहेको हुन्छ।

### किन हराइरहेको स्थानीय मार्ग रिमोट मोडल बन्न सक्छ?

1:38 Checkmarx ले मोडल कन्फ्युजन प्रदर्शन गर्यो। हराइरहेको स्थानीय मोडल मार्ग मिल्दोजुल्दो नामको सार्वजनिक भण्डारमा समाधान हुन सक्छ। यसलाई रिमोट कोडसँग जोड्नुहोस् सक्षम पारिएको, र गलत प्याकेज कार्यान्वयन हुन सक्छ। यो एक अज्ञात कम्पनीको नमूना समावेश गर्ने अनुसन्धान प्रदर्शन थियो, एक दिन भित्रै सच्याइएको थियो। एउटा हराइरहेको फोल्डरले घरधनी पायो। ReversingLabs ले फेब्रुअरी २०२५ मा दुईवटा नमूनाहरू रिपोर्ट गर्यो,

### कसरी बिग्रिएका प्याकेजहरूले पुरानो स्क्यानरलाई छले?

1:58 यस प्रविधिलाई nullify AI भन्दै। दुवैमा रिभर्स शेलहरू थिए। तिनीहरूको सेभेन जिप प्याकेजिङले सामान्य PyTorch लोडिङलाई रोकेको थियो, त्यसैले यो मार्गलाई निकासी र असुरक्षित डिसेरियलाइजेसन आवश्यक थियो। बिग्रिएका पिकल स्ट्रिमहरूले स्क्यानरको अन्धा ठाउँ पनि उजागर गर्यो। कुनै पनि पार्सल खोल्नु अघि असफल स्क्यानको अनुसन्धान गर्नुपर्छ। अनुसन्धानकर्ताहरूको हानिरहित परीक्षणमा, निर्देशनहरूले लोडरले

2:18 बिग्रिएको भागमा पुग्नु अघि एउटा फाइल लेखे र त्रुटि उठायो। एउटा पार्सल खोल्ने कल्पना गर्नुहोस्, र्याकुनलाई छोड्नुहोस्, त्यसपछि ढुवानी लेबल अमान्य भएको याद गर्नुहोस्। लेबल अमान्य छ। त्रुटि सन्देश उत्कृष्ट व्याकरण र भयानक समयका साथ आउँछ। हगिङ फेसले २४ घण्टा भित्र रिपोर्ट गरिएका नमूनाहरू हटायो र स्क्यानर परिवर्तन गर्यो। त्यो विशेष खोजले एक समाधानको लागि प्रेरित गर्यो। एक सुरक्षा स्क्यान उपयोगी प्रमाण हो, र हरेक स्क्यानर त्रुटिलाई एक सफा स्वास्थ्यको बिल मान्नु भनेको असफलताको उल्लेखनीय उदार व्याख्या हो।

2:43 सुरक्षित टेन्सरहरू र हालका प्याच गरिएका लोडरहरूलाई प्राथमिकता दिनुहोस्।

### कुन कुराले कुञ्जीलाई पाहुनाको पहुँच बाहिर राख्छ?

2:46 PyTorch ले संस्करण २.६ बाट यसको पूर्वनिर्धारित लोडरलाई संकुचित गर्यो। अनुकूलित कोडको समीक्षा गर्नुहोस् र समीक्षा गरिएको संशोधनलाई पिन गर्नुहोस्। अपरिचित प्याकेजहरूलाई व्यक्तिगत कुञ्जीहरू बिना, एक्लै चलाउनुहोस्, प्रतिबन्धित नेटवर्क पहुँचका साथ। माउन्ट गरिएका प्रमाणहरूले भरिएको कन्टेनर नेमसँगको उपहार बास्केट हो। त्यो सुरुवाती पहेलीको उत्तर छ। लोडिङ असफलताले तपाईँलाई कार्यान्वयन कहाँ रोकियो भनेर बताउँछ। पहिलेका निर्देशनहरू पहिले नै चलिसकेका हुन सक्छन्।

3:08 पार्सल खोल्नु अघि गोप्य कुराहरूलाई यसको पहुँच बाहिर राख्नुहोस्। निर्णय, भित्रबाट हेर्दा।

### मैले यसलाई NEEDS REVIEW किन छाप लगाउनुपर्छ?

3:16 लोडर। नि: शुल्क डाउनलोड मोडलको साथ आउनुपर्छ, र पाहुना सूची मेरो निर्णय हुनुपर्छ। मैले भन्नुभन्दा तपाईँ यो पढ्न रुचाउनुहुन्छ भने, डिफ तपाईँको इनबक्समा हरेक बिहान नि:शुल्क आउँछ, daily diff dot dev मा, तलको लिङ्क। यदि तपाईँ यो सुन्नु भन्दा पढ्न रुचाउनुहुन्छ भने, डिफ हरेक बिहान तपाईँको इनबक्समा नि:शुल्क आउँछ, daily diff dot dev मा, लिङ्क तल छ। र आजको लागि यो डिफ हो। र आजको लागि डिफ यति नै। म Axrisi बाट Niko हुँ। जिम्मेवारीपूर्वक मर्ज गर्नुहोस्।

## स्रोतहरू

- [Data Scientists Targeted by Malicious Hugging Face ML Models with Silent Backdoor](https://jfrog.com/blog/data-scientists-targeted-by-malicious-hugging-face-ml-models-with-silent-backdoor/) — JFrog
- [Malicious ML models discovered on Hugging Face platform](https://www.reversinglabs.com/blog/rl-identifies-malware-ml-model-hosted-on-hugging-face) — ReversingLabs
- [AI Model Confusion: An LLM/AI Model Supply Chain Attack](https://checkmarx.com/zero-post/hugs-from-strangers-ai-model-confusion-supply-chain-attack/) — Checkmarx Zero
- [Pickle Scanning](https://huggingface.co/docs/hub/en/security-pickle) — Hugging Face
- [Safetensors](https://huggingface.co/docs/safetensors/en/index) — Hugging Face
- [Loading custom models](https://huggingface.co/docs/transformers/en/models) — Hugging Face
- [Serialization semantics](https://docs.pytorch.org/docs/2.14/notes/serialization.html) — PyTorch