Skedarët e modelit Hugging Face mund të ekzekutojnë kod të fshehur

Çfarë mbulon kjo video

• Peshat numerike të modelit, serializimi i ekzekutueshëm dhe kodi i personalizuar i depozitës janë gjëra të ndryshme.
• JFrog dhe ReversingLabs dokumentuan ngarkesa të kundërta shell; raportet e tyre të zgjedhura nuk vërtetojnë vjedhjen e kredencialeve nga viktimat e emërtuara.
• Konfuzioni i Modelit Checkmarx ishte një demonstrim kërkimor që kërkonte një model të largët të përshtatshëm dhe ngarkim të pasigurt.
• Preferoni safetensors dhe ngarkues të rregulluar, rishikoni dhe vendosni kodin e personalizuar, dhe izoloni paketat e panjohura nga sekretet personale dhe qasja e panevojshme në rrjet.

Transkript i përkthyer

Përkthyer nga tregimi origjinal në anglisht. Audio dhe titrat e disponueshme kontrollohen nga YouTube.

Si mund të ftojë një shkarkim modeli një mysafir?

0:00 Një skedar modeli është thjesht numra në disk. Ngarkimi i një pakete të dëmshme Hugging Face hapi një shell të largët, që është një interpretim ambicioz i AI lokale. Si bëhet ngarkimi ekzekutim? Cilat sekrete mund të arrijë? Çfarë e ndalon në të vërtetë? Dhe mbani një enigmë në mendje. Një model mund të dështojë të ngarkohet pasi pjesa e rrezikshme ka ndodhur tashmë.

0:18 Ky është The Daily Diff, nën kapuç. Hugging Face është një platformë për ndarjen e modeleve të mësimit të makinerive, grupeve të të dhënave dhe aplikacioneve. Peshat e modelit janë numrat e mësuar. Një depozitë mund të përmbajë gjithashtu konfigurim dhe kod Python. Rreziku këtu është paketimi i ekzekutueshëm që kalon në kompjuterin tuaj kur ju e ngarkoni. Pickle ruan objekte Python me udhëzime për rindërtimin e tyre.

Si e ekzekuton një ngarkues udhëzimet e paketës?

0:37 Një ngarkues i pasigurt mund të ndjekë ato udhëzime dhe të thërrasë funksione gjatë shpërpaketimit. Shkarkimi i bajtëve e vendos parcelën në diskun tuaj. Deserializimi e hap atë. Diku, një format skedari është promovuar në administrator sistemi i papaguar. JFrog raportoi Goober Two në shkurt 2024. Ngarkesa e tij Pickle hapi një shell të kundërt, duke u lidhur jashtë për të ofruar akses në komandë në distancë. Depozita u fshi. JFrog gjeti gjithashtu të dhëna që sugjeronin përfshirjen e studiuesve,

1:02 ndaj atribuimi është i pasigurt. Mysafiri i padëshiruar u dokumentua. Vjedhja e kredencialeve nga viktimat aktuale nuk u vërtetua.

Cilat sekrete janë brenda mundësive të procesit?

1:09 Kodi që ekzekutohet si përdoruesi juaj mund të lexojë çfarëdo që ai proces mund të lexojë. Një çelës i montuar në cloud ose një token i aksesueshëm bëhet një objektiv i mundshëm. Dërgimi i tij jashtë kërkon gjithashtu një rrugë funksionuese rrjeti. Peshat numerike vetëm nuk kanë fuqi magjike kredencialesh. Lejet tuaja furnizojnë pjesën interesante të kartës së modelit. Ekziston një derë tjetër. Disa modele ju kërkojnë të besoni kodin në distancë, i cili autorizon Python nga depozita. Skedarët e sigurt të tensorit mund të qëndrojnë pranë atij kodi.

1:32 Kontrollimi i formatit të peshës mbulon një hyrje, ndërsa kodi i depozitës është ende duke pritur që ju t'i jepni një shenjë vizitori.

Pse një shteg lokal që mungon mund të bëhet një model i largët?

1:38 Checkmarx demonstroi Model Confusion. Një shteg modeli lokal që mungon mund të zgjidhë një depozitë publike me një emër të ngjashëm. Kombinojeni këtë me kodin në distancë të aktivizuar, dhe paketa e gabuar mund të ekzekutohet. Kjo ishte një demonstrim kërkimor që përfshinte një mostër të një kompanie të paemëruar, korrigjuar brenda një dite. Një dosje që mungonte fitoi një pronar. ReversingLabs raportoi dy mostra në shkurt 2025,

Si i shmangën paketat e dëmtuara skanerin e vjetër?

1:58 duke e quajtur teknikën nullify AI. Të dyja përmbanin shell të kundërt. Paketimi i tyre shtatë zip bllokoi ngarkimin e zakonshëm të PyTorch, ndaj kjo rrugë kërkonte nxjerrje dhe deserializim të pasigurt. Rrymat e dëmtuara të Pickle zbuluan gjithashtu një pikë të verbër të skanerit. Një skanim i dështuar meriton hetim para se dikush të hapë paketën. Në testin e padëmshëm të studiuesve, udhëzimet shkruan një skedar para se ngarkuesi

2:18 të arrinte pjesën e dëmtuar dhe të ngrinte një gabim. Imagjinoni të hapni një paketë, të lironi rakunin, pastaj të vëreni se etiketa e transportit është e pavlefshme. Mesazhi i gabimit arrin me gramatikë të shkëlqyer dhe kohë të tmerrshme. Hugging Face i hoqi mostrat e raportuara brenda 24 orëve dhe ndryshoi skanerin. Ky zbulim specifik nxiti një rregullim. Një skanim sigurie është dëshmi e dobishme, dhe trajtimi i çdo gabimi të skanerit si një certifikatë të pastër shëndeti mbetet një interpretim jashtëzakonisht bujar i dështimit.

2:43 Preferoni tensorët e sigurt dhe ngarkuesit e rregulluar aktualisht.

Çfarë e mban çelësin jashtë mundësive të mysafirit?

2:46 PyTorch ngushtoi ngarkuesin e tij të paracaktuar duke filluar nga versioni 2.6. Rishikoni kodin e personalizuar dhe vendosni rishikimin e rishikuar. Ekzekutoni paketa të panjohura në izolim pa çelësa personalë, me akses të kufizuar në rrjet. Një kontenjer plot me kredenciale të montuara është një shportë dhuratash me hapësira emrash. Kjo enigmë e hapjes ka një përgjigje. Dështimi i ngarkimit ju tregon ku u ndal ekzekutimi. Udhëzimet e mëparshme mund të jenë ekzekutuar tashmë.

3:08 Mbani sekretet jashtë mundësive të tij para se të hapni paketën. Vendimi, nën kapuç.

Pse do ta vulosja këtë NEEDS REVIEW?

3:16 ngarkues. Shkarkimi falas duhet të vijë me një model, dhe lista e mysafirëve duhet të mbetet vendimi im. Nëse preferoni ta lexoni këtë në vend që të më dëgjoni ta them, diff-i arrin në kutinë tuaj hyrëse çdo mëngjes, falas në the daily diff dot dev, lidhja më poshtë. Dhe ky është diff-i për sot. Unë jam Niko nga Axrisi. Bashkoni me përgjegjësi.

Burimet

1. Data Scientists Targeted by Malicious Hugging Face ML Models with Silent BackdoorJFrog
2. Malicious ML models discovered on Hugging Face platformReversingLabs
3. AI Model Confusion: An LLM/AI Model Supply Chain AttackCheckmarx Zero
4. Pickle ScanningHugging Face
5. SafetensorsHugging Face
6. Loading custom modelsHugging Face
7. Serialization semanticsPyTorch