Forskare frÄn JFrog har upptÀckt skadliga maskininlÀrningsmodeller i Hugging Face-repositoriet, vars installation kan leda till att angriparens kod exekveras för att fÄ kontroll över anvÀndarens system. Problemet orsakas av att vissa modelleringsformat tillÄter inbÀddning av körbar kod; till exempel kan modeller som anvÀnder "pickle"-formatet inkludera serialiserade objekt skrivna i Python, samt kod som exekveras vid filens laddning. Tensorflow Keras-modeller kan exekvera kod genom Lambda Layer.
För att förhindra spridning av sÄdana skadliga modeller anvÀnds skanning för att upptÀcka inbÀddad serialiserad kod i Hugging Face, men de upptÀckta skadliga modellerna visar att de befintliga kontrollerna kan kringgÄs. Dessutom markerar Hugging Face i de flesta fall bara modeller som farliga utan att blockera Ätkomst till dem. Totalt har cirka 100 potentiellt skadliga modeller identifierats, varav 95 % Àr avsedda för anvÀndning med PyTorch-ramverket och 5 % med Tensorflow. De vanligaste skadliga Àndringarna inkluderar objektkapning, organisation av inloggning frÄn en extern plats (reverse shell), körning av program och filskrivning.
Det noteras att, baserat pÄ de vidtagna ÄtgÀrderna, har de flesta upptÀckta skadliga modeller skapats av sÀkerhetsforskare som försöker fÄ belöning för att upptÀcka sÄrbarheter och metoder för att kringgÄ skyddet hos Hugging Face (till exempel, istÀllet för en verklig attack försöker sÄdana modeller starta kalkylatorn eller skicka ett nÀtverksanrop med information om attackens framgÄng). Det förekommer Àven instanser som kör en reverse shell för att ansluta angriparen till systemet.
Till exempel riktar modeller som "baller423/goober2" och "star23/baller13" in sig pÄ att attackera system som laddar modellfilen i PyTorch med hjÀlp av funktionen torch.load(). För att möjliggöra körning av kod anvÀnds metoden "__reduce__" frÄn pickle-modulen, vilket gör det möjligt att injicera godtycklig Python-kod i deserialiseringsprocessen som utförs vid laddningen av modellen.
KĂ€lla: opennet.ru
