# Hugging Face modellfiler kan kjøre skjult kode

Published: 2026-10-12

Skadelige modellpakker kan utføre kode under usikker lasting. Tre dokumenterte eksempler forklarer Pickle reverse shells, ødelagt filskanners oppførsel og forskningsdemonstrert modellnavnforvirring, med klare begrensninger på påstandene om tyveri av legitimasjon.

Canonical: https://thedailydiff.dev/no/video/2026-10-12-huggingface-model-malware/

## Hva denne videoen dekker

- Numeriske modellvekter, kjørbar serialisering og tilpasset lagringskode er forskjellige ting.
- JFrog og ReversingLabs dokumenterte "reverse-shell"-nyttelaster; deres utvalgte rapporter etablerer ikke tyveri av legitimasjon fra navngitte ofre.
- Checkmarx Model Confusion var en forskningsdemonstrasjon som krevde en matchende fjernmodell og usikker lasting.
- Foretrekk "safetensors" og lappede "loaders", gjennomgå og "pin" tilpasset kode, og isoler ukjente pakker fra personlige hemmeligheter og unødvendig nettverkstilgang.

## Kapitler

- 0:00 Hvordan kan en modelldownload invitere en gjest?
- 0:35 Hvordan kjører en "loader" pakkens instruksjoner?
- 1:09 Hvilke hemmeligheter er innenfor prosessens rekkevidde?
- 1:38 Hvorfor kan en manglende lokal sti bli en fjernmodell?
- 1:55 Hvordan unngikk ødelagte pakker den gamle skanneren?
- 2:44 Hva holder nøkkelen utenfor gjestenes rekkevidde?
- 3:12 Hvorfor skulle jeg stemple dette med "NEEDS REVIEW"?

## Oversatt transkripsjon

Oversatt fra den originale engelske fortellingen. Tilgjengelig lyd og undertekster kontrolleres av YouTube.

### Hvordan kan en modelldownload invitere en gjest?

0:00 En modellfil er bare tall på disk. Lasting av en skadelig Hugging Face-pakke åpnet en fjernskall, som er en ambisiøs tolkning av lokal AI. Hvordan blir lasting utførelse? Hvilke hemmeligheter kan den nå? Hva stopper den egentlig? Og ha ett puslespill i tankene. En modell kan mislykkes i å laste etter at den farlige delen allerede har skjedd.

0:18 Dette er The Daily Diff, under panseret. Hugging Face er en plattform for deling av maskinlæringsmodeller, datasett og applikasjoner. Modellvekter er de lærte tallene. Et depot kan også inneholde konfigurasjon og Python-kode. Faren her er at kjørbar pakking krysser inn på datamaskinen din når du laster den. Pickle lagrer Python-objekter med instruksjoner for å gjenoppbygge dem.

### Hvordan kjører en "loader" pakkens instruksjoner?

0:37 En usikker "loader" kan følge disse instruksjonene og kalle funksjoner mens den pakkes ut. Nedlasting av bytes legger pakken på disken din. Deserialisering åpner den. Et sted har et filformat blitt forfremmet til ubetalt systemadministrator. JFrog rapporterte Goober Two i februar tjue tjuefire. Dens Pickle-nyttelast åpnet en "reverse shell", som koblet utover for å tilby ekstern kommando tilgang. Depotet ble slettet. JFrog fant også spor som tydet på forsker involvering,

1:02 så attribusjon er usikker. Den uønskede gjesten ble dokumentert. Tyveri av legitimasjon fra faktiske ofre ble ikke etablert.

### Hvilke hemmeligheter er innenfor prosessens rekkevidde?

1:09 Kode som kjører som brukeren din kan lese alt den prosessen kan lese. En montert sky-nøkkel eller et tilgjengelig token blir et mulig mål. Å sende det ut krever også en fungerende nettverksrute. Numeriske vekter alene har ingen magiske legitimasjonskrefter. Dine tillatelser leverer den interessante delen av modellkortet. Det er en annen dør. Noen modeller ber deg stole på ekstern kode, som autoriserer Python fra depotet. Sikre tensorfiler kan ligge ved siden av den koden.

1:32 Sjekking av vektformatet dekker én inngang, mens depotets kode fortsatt venter på at du skal gi den et besøksmerke.

### Hvorfor kan en manglende lokal sti bli en fjernmodell?

1:38 Checkmarx demonstrerte Model Confusion. En manglende lokal modellsti kunne løses til et offentlig depot med et matchende navn. Kombiner det med ekstern kode aktivert, og feil pakke kan utføres. Dette var en forskningsdemonstrasjon som involverte en navnløs bedrifts prøve, korrigert innen en dag. En manglende mappe fikk en utleier. ReversingLabs rapporterte to prøver i februar tjue tjuefem,

### Hvordan unngikk ødelagte pakker den gamle skanneren?

1:58 og kalte teknikken "nullify AI". Begge inneholdt "reverse shells". Deres sju-zip pakking blokkerte vanlig PyTorch-lasting, så denne veien krevde utpakking og usikker deserialisering. Ødelagte Pickle-strømmer avslørte også en skanner-blindflekk. En mislykket skanning fortjener etterforskning før noen åpner pakken. I forskernes ufarlige test, instruksjonene skrev en fil før "loaderen"

2:18 nådde den ødelagte delen og utløste en feil. Tenk deg å åpne en pakke, slippe ut vaskebjørnen, og deretter legge merke til at forsendelsen etiketten er ugyldig. Feilmeldingen kommer med utmerket grammatikk og forferdelig timing. Hugging Face fjernet de rapporterte prøvene innen tjuefire timer og endret skanneren. Det spesifikke funnet førte til en løsning. En sikkerhetsskanning er nyttig bevis, og å behandle hver skannerfeil som et rent helseattest forblir en bemerkelsesverdig sjenerøs tolkning av feil.

2:43 Foretrekk "safe tensors" og nåværende lappede "loaders".

### Hva holder nøkkelen utenfor gjestenes rekkevidde?

2:46 PyTorch begrenset sin standard "loader" fra versjon to punkt seks. Gjennomgå tilpasset kode og "pin" den gjennomgåtte revisjonen. Kjør ukjente pakker isolert uten personlige nøkler, med begrenset nettverkstilgang. En container full av monterte legitimasjoner er en gavekurv med navneområder. Det innledende puslespillet har et svar. Lastingsfeil forteller deg hvor utførelsen stoppet. Tidligere instruksjoner kan allerede ha kjørt.

3:08 Hold hemmelighetene utenfor dens rekkevidde før du åpner pakken. Dom, under panseret.

### Hvorfor skulle jeg stemple dette med "NEEDS REVIEW"?

3:16 "loader". Gratis nedlastingen skal komme med en modell, og gjestelisten skal forbli min beslutning. Hvis du heller vil lese dette enn å høre meg si det, lander "diffen" i innboksen din hver morgen, gratis på "the daily diff dot dev", lenke nedenfor. Og det er "the diff" for i dag. Jeg er Niko fra Axrisi. Slå sammen ansvarlig.

## Kilder

- [Data Scientists Targeted by Malicious Hugging Face ML Models with Silent Backdoor](https://jfrog.com/blog/data-scientists-targeted-by-malicious-hugging-face-ml-models-with-silent-backdoor/) — JFrog
- [Malicious ML models discovered on Hugging Face platform](https://www.reversinglabs.com/blog/rl-identifies-malware-ml-model-hosted-on-hugging-face) — ReversingLabs
- [AI Model Confusion: An LLM/AI Model Supply Chain Attack](https://checkmarx.com/zero-post/hugs-from-strangers-ai-model-confusion-supply-chain-attack/) — Checkmarx Zero
- [Pickle Scanning](https://huggingface.co/docs/hub/en/security-pickle) — Hugging Face
- [Safetensors](https://huggingface.co/docs/safetensors/en/index) — Hugging Face
- [Loading custom models](https://huggingface.co/docs/transformers/en/models) — Hugging Face
- [Serialization semantics](https://docs.pytorch.org/docs/2.14/notes/serialization.html) — PyTorch