Forscher von JFrog haben im Hugging Face-Repository schadhafte Machine Learning-Modelle entdeckt, deren Installation dazu führen kann, dass Angreifer den Code ausführen und Kontrolle über das System des Benutzers übernehmen. Das Problem entsteht, weil einige Modelle in bestimmten Formaten die Einbettung ausführbaren Codes zulassen. Beispielsweise können Modelle, die das „pickle“-Format verwenden, serialisierte Objekte in Python enthalten, sowie Code, der beim Laden der Datei ausgeführt wird. TensorFlow Keras-Modelle können Code über Lambda Layer ausführen.
Um die Verbreitung solcher schädlichen Modelle zu verhindern, wird bei Hugging Face eine Überprüfung auf Serialisierungs-Code-Injektionen durchgeführt. Doch die entdeckten schädlichen Modelle zeigen, dass bestehende Kontrollen umgangen werden können. Darüber hinaus kennzeichnet Hugging Face in den meisten Fällen Modelle lediglich als gefährlich, sperrt jedoch nicht den Zugriff darauf. Insgesamt wurden etwa 100 potenziell schädliche Modelle identifiziert, von denen 95 % für die Verwendung mit dem PyTorch-Framework und 5 % mit TensorFlow vorgesehen sind. Am häufigsten wurden schädliche Änderungen wie Objekterfassung, Bereitstellung eines externen Systemzugangs (Reverse Shell), das Ausführen von Anwendungen und das Schreiben in Dateien genannt.
Es wird festgestellt, dass die Mehrheit der identifizierten schädlichen Modelle gemäß den durchgeführten Aktionen von Sicherheitsexperten erstellt wurde, die versuchen, Belohnungen für die Entdeckung von Schwachstellen und Methoden zur Umgehung des Hugging Face-Schutzes zu erhalten (zum Beispiel versuchen solche Modelle, einen Rechner zu starten oder eine Netzwerkabfrage mit Informationen über den Erfolg des Angriffs zu senden, anstatt einen echten Angriff durchzuführen). Es gibt jedoch auch Exemplare, die einen Reverse-Shell starten, um den Angreifer mit dem System zu verbinden.
Zum Beispiel zielen die Modelle «baller423/goober2» und «star23/baller13» darauf ab, Angriffe auf Systeme durchzuführen, die eine Modell-Datei in PyTorch mit der Funktion torch.load() laden. Um die Ausführung von Code zu organisieren, wird die Methode «__reduce__» aus dem Modul pickle verwendet, die es ermöglicht, beliebigen Python-Code in den Deserialisierungsprozess einzufügen, der beim Laden des Modells ausgeführt wird.
Quelle: opennet.ru
