{"id":113971,"date":"2024-02-29T18:25:41","date_gmt":"2024-02-29T16:25:42","guid":{"rendered":"https:\/\/prohoster.info\/blog\/novosti-interneta\/v-repozitorii-hugging-face-vyyavleny-vredonosnye-ai-modeli-vypolnyayushhie-kod"},"modified":"2024-02-29T18:25:41","modified_gmt":"2024-02-29T16:25:42","slug":"v-repozitorii-hugging-face-vyyavleny-vredonosnye-ai-modeli-vypolnyayushhie-kod","status":"publish","type":"post","link":"https:\/\/prohoster.info\/pl\/blog\/news\/v-repozitorii-hugging-face-vyyavleny-vredonosnye-ai-modeli-vypolnyayushhie-kod","title":{"rendered":"W repozytorium Hugging Face odkryto z\u0142o\u015bliwe modele AI wykonuj\u0105ce kod","gt_translate_keys":[{"key":"rendered","format":"text"}]},"content":{"rendered":"
Badacze z firmy JFrog odkryli z\u0142o\u015bliwe modele uczenia maszynowego w repozytorium Hugging Face, kt\u00f3rych zainstalowanie mo\u017ce prowadzi\u0107 do wykonania kodu atakuj\u0105cego w celu uzyskania kontroli nad systemem u\u017cytkownika. Problem wynika z tego, \u017ce niekt\u00f3re formaty dystrybucji modeli pozwalaj\u0105 na osadzenie kodu wykonywalnego; na przyk\u0142ad modele korzystaj\u0105ce z formatu \u201epickle\u201d mog\u0105 zawiera\u0107 zserializowane obiekty w j\u0119zyku Python oraz kod wykonywany przy \u0142adowaniu pliku, a modele Tensorflow Keras mog\u0105 uruchamia\u0107 kod za pomoc\u0105 Lambda Layer. <\/p>\n
Aby zapobiec rozprzestrzenianiu si\u0119 podobnych z\u0142o\u015bliwych modeli, w Hugging Face stosuje si\u0119 skanowanie w poszukiwaniu substytucji kodu serializowanego, jednak wykryte z\u0142o\u015bliwe modele pokazuj\u0105, \u017ce istniej\u0105ce kontrole mo\u017cna obej\u015b\u0107. Dodatkowo, Hugging Face w wi\u0119kszo\u015bci przypadk\u00f3w jedynie oznacza modele jako niebezpieczne, nie blokuj\u0105c do nich dost\u0119pu. Ca\u0142kowita liczba zidentyfikowanych potencjalnie z\u0142o\u015bliwych modeli wynosi oko\u0142o 100, z czego 95% jest przeznaczone do u\u017cycia z frameworkiem PyTorch, a 5% z Tensorflow. Najcz\u0119\u015bciej spotykane z\u0142o\u015bliwe zmiany obejmuj\u0105 przechwycenie obiektu, organizacj\u0119 zdalnego dost\u0119pu do systemu (reverse shell), uruchamianie aplikacji oraz zapis do pliku.
<\/center> <\/p>\n
Zauwa\u017cono, \u017ce na podstawie przeprowadzanych dzia\u0142a\u0144, wi\u0119kszo\u015b\u0107 wykrytych z\u0142o\u015bliwych modeli zosta\u0142a stworzona przez badaczy bezpiecze\u0144stwa, kt\u00f3rzy staraj\u0105 si\u0119 zdoby\u0107 nagrody za odkrycie podatno\u015bci i metod obej\u015bcia zabezpiecze\u0144 Hugging Face (na przyk\u0142ad zamiast rzeczywistego ataku, takie modele staraj\u0105 si\u0119 uruchomi\u0107 kalkulator lub wys\u0142a\u0107 zapytanie sieciowe z informacj\u0105 o sukcesie ataku). Wyst\u0119puj\u0105 r\u00f3wnie\u017c przypadki, kt\u00f3re uruchamiaj\u0105 odwrotny shell, aby po\u0142\u0105czy\u0107 atakuj\u0105cego z systemem. <\/p>\n
Na przyk\u0142ad modele \u201eballer423\/goober2\u201d i \u201estar23\/baller13\u201d maj\u0105 na celu przeprowadzenie ataku na systemy, kt\u00f3re wprowadzaj\u0105 plik modelu do PyTorch za pomoc\u0105 funkcji torch.load(). Aby zrealizowa\u0107 wykonanie kodu, wykorzystano metod\u0119 \u201e__reduce__\u201d z modu\u0142u pickle, kt\u00f3ra pozwala na wstawienie dowolnego kodu Python do procesu deserializacji, wykonywanego podczas \u0142adowania modelu. \n \u0179r\u00f3d\u0142o: opennet.ru<\/a> <\/p>","protected":false,"gt_translate_keys":[{"key":"rendered","format":"html"}]},"excerpt":{"rendered":"
![\"W](\"\/wp-content\/uploads\/2024\/02\/41044e0439dc5ab9dafa74966309f7e7.png\")
<\/center> <\/p>\n