Hugging Face model dosyaları gizli kod çalıştırabilir

Bu video neleri kapsar

• Sayısal model ağırlıkları, çalıştırılabilir serileştirme ve özel depo kodu farklı şeylerdir.
• JFrog ve ReversingLabs ters kabuk yüklerini belgeledi; seçilen raporları, adı geçen kurbanlardan kimlik bilgisi hırsızlığını kanıtlamıyor.
• Checkmarx Model Karışıklığı, eşleşen uzak bir model ve güvensiz yükleme gerektiren bir araştırma gösterimiydi.
• Safetensor'ları ve yamalanmış yükleyicileri tercih edin, özel kodu inceleyin ve sabitleyin, ayrıca tanıdık olmayan paketleri kişisel sırlarınızdan ve gereksiz ağ erişiminden izole edin.

Çevrilmiş deşifre

Orijinal İngilizce anlatımdan çevrilmiştir. Mevcut ses ve altyazılar YouTube tarafından kontrol edilir.

Bir model indirmesi nasıl bir misafiri davet edebilir?

0:00 Bir model dosyası diskteki sayılardan ibarettir. Kötü amaçlı bir Hugging Face paketini yüklemek, uzaktan bir kabuk açtı, ki bu, yerel yapay zekanın iddialı bir yorumudur. Yükleme nasıl yürütmeye dönüşür? Hangi sırlara ulaşabilir? Onu aslında durduran nedir? Ve bir bulmacayı aklınızda tutun. Tehlikeli kısım zaten gerçekleştiği halde bir model yüklenemeyebilir.

0:18 Bu, perde arkasındaki The Daily Diff. Hugging Face, makine öğrenimi modellerini, veri kümelerini ve uygulamalarını paylaşmak için bir platformdur. Model ağırlıkları, öğrenilmiş sayılardır. Bir depo ayrıca yapılandırma ve Python kodu da içerebilir. Buradaki tehlike, yürütülebilir paketlemenin siz onu yüklediğinizde bilgisayarınıza geçmesidir. Pickle, Python nesnelerini yeniden oluşturma talimatlarıyla birlikte saklar.

Bir yükleyici, paketin talimatlarını nasıl çalıştırır?

0:37 Güvenli olmayan bir yükleyici, bu talimatları takip edebilir ve paketi açarken fonksiyonları çağırabilir. Baytları indirmek, paketi diskinize koyar. Seri durumdan çıkarma onu açar. Bir yerlerde, bir dosya formatı ücretsiz sistem yöneticiliğine terfi ettirilmiş. JFrog, Şubat yirmi yirmi dört'te Goober Two'yu rapor etti. Pickle yükü, uzaktan komut erişimi sunmak için dışarıya bağlanarak ters bir kabuk açtı. Depo silindi. JFrog ayrıca araştırmacı katılımını gösteren ipuçları da buldu,

1:02 bu nedenle atıf belirsizdir. İstenmeyen misafir belgelendi. Gerçek kurbanlardan kimlik bilgisi hırsızlığı kanıtlanmadı.

Süreç içinde hangi sırlar erişilebilir durumdadır?

1:09 Kullanıcınız olarak çalışan kod, o sürecin okuyabildiği her şeyi okuyabilir. Bağlı bir bulut anahtarı veya erişilebilir bir belirteç olası bir hedef haline gelir. Dışarı göndermek de çalışan bir ağ yolu gerektirir. Sayısal ağırlıkların tek başına sihirli kimlik bilgisi güçleri yoktur. İzinleriniz, model kartının ilgi çekici kısmını sağlar. Başka bir kapı var. Bazı modeller, depodan Python'a yetki veren uzak koda güvenmenizi ister. Güvenli tensör dosyaları o kodun yanında durabilir.

1:32 Ağırlık biçimini kontrol etmek bir girişi kapsar, oysa deponun kodu hala ona bir ziyaretçi rozeti uzatmanızı beklemektedir.

Neden eksik bir yerel yol uzak bir model haline gelebilir?

1:38 Checkmarx, Model Karışıklığı'nı gösterdi. Eksik bir yerel model yolu, eşleşen bir ada sahip herkese açık bir depoya çözülebilir. Bunu uzaktan kod etkinleştirilmiş ile birleştirin, ve yanlış paket çalıştırılabilir. Bu, adı açıklanmayan bir şirketin örneğini içeren bir araştırma gösterimiydi, bir gün içinde düzeltildi. Eksik bir klasör bir ev sahibi edindi. ReversingLabs, Şubat yirmi yirmi beş'te iki örnek rapor etti,

Bozuk paketler eski tarayıcıdan nasıl kaçtı?

1:58 tekniğe nullify AI adını verdi. Her ikisi de ters kabuklar içeriyordu. Yedi zip paketlemeleri sıradan PyTorch yüklemesini engelledi, bu nedenle bu yol, çıkarma ve güvenli olmayan seri durumdan çıkarma gerektirdi. Bozuk Pickle akışları ayrıca bir tarayıcı kör noktasını da ortaya çıkardı. Başarısız bir tarama, paketi açmadan önce incelenmeyi hak eder. Araştırmacıların zararsız testinde, talimatlar yükleyici bozuk kısma ulaşıp bir hata yükseltmeden önce bir dosya yazdı.

2:18 Bozuk kısma ulaşıp bir hata yükseltmeden önce bir dosya yazdı. Bir paketi açtığınızı, rakunu serbest bıraktığınızı, sonra gönderi etiketinin geçersiz olduğunu fark ettiğinizi hayal edin. Geçersiz olduğunu fark ettiğinizi hayal edin. Hata mesajı mükemmel dilbilgisiyle ve korkunç bir zamanlamayla gelir. Hugging Face, rapor edilen örnekleri yirmi dört saat içinde kaldırdı ve tarayıcıyı değiştirdi. Bu özel bulgu bir düzeltmeyi tetikledi. Bir güvenlik taraması faydalı bir kanıttır ve her tarayıcı hatasını başarısızlığın oldukça cömert bir yorumu olarak görmek, hala geçerliliğini koruyan bir hatadır.

2:43 Güvenli sensörleri ve güncel yamalı yükleyicileri tercih edin.

Anahtarı misafirin erişemeyeceği yerde tutan nedir?

2:46 PyTorch, sürüm iki nokta altı'dan itibaren varsayılan yükleyicisini daralttı. Özel kodu inceleyin ve incelenen revizyonu sabitleyin. Tanıdık olmayan paketleri kişisel anahtarlar olmadan, kısıtlı ağ erişimiyle yalıtılmış olarak çalıştırın. Bağlı kimlik bilgileriyle dolu bir kapsayıcı, ad alanları olan bir hediye sepetidir. O açılış bulmacasının bir cevabı var. Yükleme hatası, yürütmenin nerede durduğunu söyler. Daha önceki talimatlar zaten çalışmış olabilir.

3:08 Paketi açmadan önce sırları erişemeyeceği bir yerde tutun. Karar, perde arkasında.

Bunu neden İNCELEME GEREKİYOR diye damgalayayım?

3:16 yükleyici. Ücretsiz indirme bir modelle gelmeli ve misafir listesi benim kararım olmalı. Modelle gelmeli ve misafir listesi benim kararım olmalı. Bunu duymak yerine okumak isterseniz, fark her sabah gelen kutunuza düşer, daily diff dot dev adresinde ücretsizdir, bağlantı aşağıda. Ve bugünkü fark bu kadar. Ben Axrisi'den Niko. Sorumlu bir şekilde birleştirin.

Kaynaklar

1. Data Scientists Targeted by Malicious Hugging Face ML Models with Silent BackdoorJFrog
2. Malicious ML models discovered on Hugging Face platformReversingLabs
3. AI Model Confusion: An LLM/AI Model Supply Chain AttackCheckmarx Zero
4. Pickle ScanningHugging Face
5. SafetensorsHugging Face
6. Loading custom modelsHugging Face
7. Serialization semanticsPyTorch