Датотеке модела Hugging Face могу покренути скривени код

Шта овај видео покрива

• Нумеричке тежине модела, извршна серијализација и прилагођени код спремишта су различите ствари.
• JFrog и ReversingLabs су документовали обрнуте љуске за корисни терет; њихови одабрани извештаји не утврђују крађу акредитива од именованих жртава.
• Checkmarx Model Confusion је била истраживачка демонстрација која је захтевала одговарајући удаљени модел и небезбедно учитавање.
• Преферирајте safetensors и закрпљене учитаваче, прегледајте и закачите прилагођени код, и изолујте непознате пакете од личних тајни и непотребног мрежног приступа.

Преведени транскрипт

Преведено са оригиналне енглеске нарације. Доступни аудио и титлови контролисани су од стране YouTube-а.

Како преузимање модела може позвати госта?

0:00 Датотека модела су само бројеви на диску. Учитавање једног злонамерног Hugging Face пакета отворило је удаљену љуску, што је амбициозна интерпретација локалне вештачке интелигенције. Како учитавање постаје извршавање? Које тајне може дохватити? Шта је заправо спречава? И имајте једну загонетку на уму. Модел може да се не учита након што се опасни део већ догодио.

0:18 Ово је The Daily Diff, испод хаубе. Hugging Face је платформа за дељење модела машинског учења, скупова података и апликација. Тежине модела су научени бројеви. Спремиште такође може садржати конфигурацију и Python код. Опасност је у извршном паковању које долази на ваш рачунар када га учитате. Pickle чува Python објекте са упутствима за њихову реконструкцију.

Како учитавач покреће упутства пакета?

0:37 Небезбедан учитавач може следити та упутства и позивати функције током распакивања. Преузимање бајтова ставља пакет на ваш диск. Десеријализација га отвара. Негде је формат датотеке унапређен у неплаћеног системског администратора. JFrog је известио о Goober Two у фебруару две хиљаде двадесет четврте. Његов Pickle корисни терет отворио је обрнуту љуску, повезујући се напоље да понуди удаљени приступ команди. Спремиште је избрисано. JFrog је такође пронашао трагове који сугеришу умешаност истраживача,

1:02 тако да је атрибуција неизвесна. Нежељени гост је документован. Крађа акредитива од стварних жртава није утврђена.

Које тајне су у домету процеса?

1:09 Код који ради као ваш корисник може читати све што тај процес може читати. Монтирани кључ у облаку или доступан токен постаје могућа мета. Слање такође захтева исправну мрежну руту. Само нумеричке тежине немају магичне моћи акредитива. Ваше дозволе пружају занимљив део картице модела. Постоје још једна врата. Неки модели траже да верујете удаљеном коду, што овлашћује Python из спремишта. Датотеке сигурних тензора могу се налазити поред тог кода.

1:32 Провера формата тежине покрива један улаз, док код спремишта и даље чека да му предате значку за посетиоце.

Зашто недостајућа локална путања може постати удаљени модел?

1:38 Checkmarx је демонстрирао Model Confusion. Недостајућа локална путања модела могла би се решити на јавно спремиште са одговарајућим називом. Комбинујте то са омогућеним удаљеним кодом, и погрешан пакет може се извршити. Ово је била истраживачка демонстрација која је укључивала узорак неименоване компаније, исправљена у року од једног дана. Недостајућа фасцикла је добила власника. ReversingLabs је известио о два узорка у фебруару две хиљаде двадесет пете,

Како су оштећени пакети избегли стари скенер?

1:58 називајући технику nullify AI. Оба су садржала обрнуте љуске. Њихово 7-зип паковање блокирало је уобичајено PyTorch учитавање, тако да је ова путања захтевала издвајање и небезбедну десеријализацију. Оштећени Pickle токови такође су открили слепу тачку скенера. Неуспешно скенирање захтева истрагу пре него што неко отвори пакет. У безопасном тесту истраживача, упутства су написала датотеку пре него што је учитавач

2:18 дошао до оштећеног дела и подигао грешку. Замислите да отворите пакет, ослободите ракуна, а затим приметите да је налепница за отпрему неважећа. Порука о грешци стиже са одличном граматиком и ужасним временом. Hugging Face је уклонио пријављене узорке у року од двадесет четири сата и променио скенер. То специфично откриће је довело до поправке. Безбедносно скенирање је користан доказ, а третирање сваке грешке скенера као чисте потврде о здрављу остаје изузетно великодушна интерпретација неуспеха.

2:43 Преферирајте сигурне тензоре и тренутне закрпљене учитаваче.

Шта чува кључ изван дохвата госта?

2:46 PyTorch је сузио свој подразумевани учитавач почевши од верзије 2.6. Прегледајте прилагођени код и закачите прегледану ревизију. Покрените непознате пакете изоловано без личних кључева, са ограниченим мрежним приступом. Контејнер пун монтираних акредитива је поклон корпа са именованим просторима. Та почетна загонетка има одговор. Неуспех учитавања вам говори где је извршење заустављено. Раније инструкције су можда већ извршене.

3:08 Држите тајне ван његовог дохвата пре отварања пакета. Пресуда, испод хаубе.

Зашто бих ово означио као ПОТРЕБАН ПРЕГЛЕД?

3:16 учитавач. Бесплатно преузимање треба да садржи модел, а листа гостију треба да остане моја одлука. Ако више волите да ово прочитате него да ме чујете како то говорим, разлика вам стиже у инбокс сваког јутра, бесплатно на the daily diff dot dev, линк испод. И то је разлика за данас. Ја сам Нико из Axrisi-ја. Спајајте одговорно.

Извори

1. Data Scientists Targeted by Malicious Hugging Face ML Models with Silent BackdoorJFrog
2. Malicious ML models discovered on Hugging Face platformReversingLabs
3. AI Model Confusion: An LLM/AI Model Supply Chain AttackCheckmarx Zero
4. Pickle ScanningHugging Face
5. SafetensorsHugging Face
6. Loading custom modelsHugging Face
7. Serialization semanticsPyTorch