# Pliki modeli Hugging Face mogą uruchamiać ukryty kod

Published: 2026-10-12

Złośliwe pakiety modeli mogą wykonywać kod podczas niebezpiecznego ładowania. Trzy udokumentowane przykłady wyjaśniają odwrotne powłoki Pickle, zachowanie skanera uszkodzonych plików i zademonstrowane w badaniach pomylenie nazw modeli, z jasnymi ograniczeniami co do zarzutów kradzieży poświadczeń.

Canonical: https://thedailydiff.dev/pl/video/2026-10-12-huggingface-model-malware/

## Co obejmuje ten film

- Numeryczne wagi modeli, wykonywalna serializacja i niestandardowy kod repozytorium to różne rzeczy.
- JFrog i ReversingLabs udokumentowały ładunki odwrotnych powłok; ich wybrane raporty nie potwierdzają kradzieży poświadczeń od wymienionych ofiar.
- Checkmarx Model Confusion było demonstracją badawczą wymagającą pasującego zdalnego modelu i niebezpiecznego ładowania.
- Preferuj safetensors i załatane ładowarki, przeglądaj i przypinaj niestandardowy kod oraz izoluj nieznane pakiety od osobistych sekretów i niepotrzebnego dostępu do sieci.

## Rozdziały

- 0:00 Jak pobranie modelu może zaprosić gościa?
- 0:35 Jak ładowarka uruchamia instrukcje pakietu?
- 1:09 Jakie sekrety są w zasięgu procesu?
- 1:38 Dlaczego brakująca ścieżka lokalna może stać się modelem zdalnym?
- 1:55 Jak uszkodzone pakiety uniknęły starego skanera?
- 2:44 Co chroni klucz przed dostępem gościa?
- 3:12 Dlaczego miałbym oznaczyć to jako POTRZEBUJE PRZEGLĄDU?

## Przetłumaczona transkrypcja

Przetłumaczono z oryginalnej narracji angielskiej. Dostępne audio i napisy są kontrolowane przez YouTube.

### Jak pobranie modelu może zaprosić gościa?

0:00 Plik modelu to tylko liczby na dysku. Załadowanie jednego złośliwego pakietu Hugging Face otworzyło zdalną powłokę, co jest ambitną interpretacją lokalnej sztucznej inteligencji. Jak ładowanie staje się wykonaniem? Do jakich sekretów może ono dotrzeć? Co tak naprawdę to powstrzymuje? I pamiętaj o jednej zagadce. Model może się nie załadować po tym, jak niebezpieczna część już się wydarzyła.

0:18 To jest The Daily Diff, od podszewki. Hugging Face to platforma do udostępniania modeli uczenia maszynowego, zbiorów danych i aplikacji. Wagi modelu to nauczone liczby. Repozytorium może również zawierać konfigurację i kod Pythona. Niebezpieczeństwo polega na tym, że wykonywalne opakowanie trafia na twój komputer, gdy je ładujesz. Pickle przechowuje obiekty Pythona z instrukcjami ich odbudowy.

### Jak ładowarka uruchamia instrukcje pakietu?

0:37 Niebezpieczna ładowarka może podążać za tymi instrukcjami i wywoływać funkcje podczas rozpakowywania. Pobranie bajtów umieszcza pakiet na twoim dysku. Deserializacja go otwiera. Gdzieś format pliku został awansowany na nieopłacanego administratora systemu. JFrog zgłosił Goober Two w lutym 2024 roku. Jego ładunek Pickle otworzył odwrotną powłokę, łącząc się na zewnątrz, aby zapewnić zdalny dostęp do poleceń. Repozytorium zostało usunięte. JFrog znalazł również wskazówki sugerujące zaangażowanie badaczy,

1:02 więc przypisanie jest niepewne. Niechciany gość został udokumentowany. Kradzież poświadczeń od faktycznych ofiar nie została potwierdzona.

### Jakie sekrety są w zasięgu procesu?

1:09 Kod działający jako twój użytkownik może odczytać wszystko, co ten proces może odczytać. Zamontowany klucz chmury lub dostępny token staje się możliwym celem. Wysyłanie go wymaga również działającej trasy sieciowej. Same wagi numeryczne nie mają magicznych mocy poświadczeń. Twoje uprawnienia dostarczają interesującej części karty modelu. Istnieje inne drzwi. Niektóre modele proszą o zaufanie zdalnemu kodowi, co autoryzuje Pythona z repozytorium. Pliki bezpiecznych tensorów mogą znajdować się obok tego kodu.

1:32 Sprawdzanie formatu wag obejmuje jedno wejście, podczas gdy kod repozytorium nadal czeka, aż wręczysz mu odznakę gościa.

### Dlaczego brakująca ścieżka lokalna może stać się modelem zdalnym?

1:38 Checkmarx zademonstrował Model Confusion. Brakująca lokalna ścieżka modelu mogła prowadzić do publicznego repozytorium z pasującą nazwą. Połącz to ze zdalnym kodem włączonym, a niewłaściwy pakiet może zostać wykonany. Była to demonstracja badawcza dotycząca próbki nieujawnionej firmy, poprawionej w ciągu jednego dnia. Brakujący folder zyskał właściciela. ReversingLabs zgłosił dwie próbki w lutym 2025 roku,

### Jak uszkodzone pakiety uniknęły starego skanera?

1:58 nazywając tę technikę nullify AI. Obie zawierały odwrotne powłoki. Ich opakowanie 7-zip blokowało zwykłe ładowanie PyTorch, więc ta ścieżka wymagała ekstrakcji i niebezpiecznej deserializacji. Uszkodzone strumienie Pickle również ujawniły martwy punkt skanera. Nieudany skan zasługuje na dochodzenie, zanim ktokolwiek otworzy paczkę. W nieszkodliwym teście badaczy instrukcje zapisały plik, zanim ładowarka

2:18 dotarła do uszkodzonej części i zgłosiła błąd. Wyobraź sobie otwarcie paczki, wypuszczenie szopa, a następnie zauważenie, że etykieta wysyłkowa jest nieważna. Komunikat o błędzie pojawia się z doskonałą gramatyką i fatalnym wyczuciem czasu. Hugging Face usunął zgłoszone próbki w ciągu 24 godzin i zmienił skaner. To konkretne odkrycie skłoniło do poprawki. Skan bezpieczeństwa jest użytecznym dowodem, a traktowanie każdego błędu skanera jako czystej karty zdrowia pozostaje niezwykle hojną interpretacją porażki.

2:43 Preferuj bezpieczne tensory i aktualne załatane ładowarki.

### Co chroni klucz przed dostępem gościa?

2:46 PyTorch zawęził swoją domyślną ładowarkę, począwszy od wersji 2.6. Przejrzyj niestandardowy kod i przypnij sprawdzoną rewizję. Uruchamiaj nieznane pakiety w izolacji bez osobistych kluczy, z ograniczonym dostępem do sieci. Kontener pełen zamontowanych poświadczeń to kosz prezentowy z przestrzeniami nazw. Ta początkowa zagadka ma odpowiedź. Błąd ładowania informuje, gdzie zatrzymano wykonanie. Wcześniejsze instrukcje mogły już zostać wykonane.

3:08 Trzymaj sekrety poza jego zasięgiem, zanim otworzysz paczkę. Werdykt, od podszewki.

### Dlaczego miałbym oznaczyć to jako POTRZEBUJE PRZEGLĄDU?

3:16 ładowarka. Bezpłatne pobranie powinno zawierać model, a lista gości powinna pozostać moją decyzją. Jeśli wolisz to przeczytać, niż usłyszeć, jak to mówię, The Daily Diff ląduje w twojej skrzynce każdego ranka, bezpłatnie na thedailydiff.dev, link poniżej. I to jest The Daily Diff na dziś. Jestem Niko z Axrisi. Łącz odpowiedzialnie.

## Źródła

- [Data Scientists Targeted by Malicious Hugging Face ML Models with Silent Backdoor](https://jfrog.com/blog/data-scientists-targeted-by-malicious-hugging-face-ml-models-with-silent-backdoor/) — JFrog
- [Malicious ML models discovered on Hugging Face platform](https://www.reversinglabs.com/blog/rl-identifies-malware-ml-model-hosted-on-hugging-face) — ReversingLabs
- [AI Model Confusion: An LLM/AI Model Supply Chain Attack](https://checkmarx.com/zero-post/hugs-from-strangers-ai-model-confusion-supply-chain-attack/) — Checkmarx Zero
- [Pickle Scanning](https://huggingface.co/docs/hub/en/security-pickle) — Hugging Face
- [Safetensors](https://huggingface.co/docs/safetensors/en/index) — Hugging Face
- [Loading custom models](https://huggingface.co/docs/transformers/en/models) — Hugging Face
- [Serialization semantics](https://docs.pytorch.org/docs/2.14/notes/serialization.html) — PyTorch