近日，網絡安全研究人員發現，在知名機器學習平臺 HuggingFace 上，有兩個惡意的機器學習模型悄然上傳。這些模型使用了一種新奇的技術，通過 “損壞” 的 pickle 文件成功規避了安全檢測，令人擔憂。

image.png

ReversingLabs 的研究員卡洛・贊基（Karlo Zanki）指出，從這些 PyTorch 格式的存檔中提取的 pickle 文件開頭，暗示了其中包含惡意的 Python 代碼。這些惡意代碼主要是反向 shell，能夠連接到硬編碼的 IP 地址，實現黑客的遠程控制。這種利用 pickle 文件的攻擊方法被稱爲 nullifAI，目的是繞過現有的安全防護措施。

具體來說，Hugging Face 上發現的兩個惡意模型分別爲 glockr1/ballr7和 who-r-u0000/0000000000000000000000000000000000000。這些模型更像是一個概念驗證，而不是實際的供應鏈攻擊案例。雖然 pickle 格式在機器學習模型的分發中非常常見，但它也存在着安全隱患，因爲該格式允許在加載和反序列化時執行任意代碼。

研究人員發現，這兩個模型使用的是 PyTorch 格式的壓縮 pickle 文件，且採用了不同於默認 ZIP 格式的7z 壓縮方式。這一特徵使得它們能夠避開 Hugging Face 的 Picklescan 工具的惡意檢測。贊基進一步指出，雖然 pickle 文件中的反序列化會因爲惡意載荷的插入而出現錯誤，但它仍能部分反序列化，從而執行惡意代碼。

更爲複雜的是，由於這些惡意代碼位於 pickle 流的開頭，Hugging Face 的安全掃描工具未能識別出模型的潛在風險。這一事件引發了對機器學習模型安全性的廣泛關注。針對該問題，研究人員已進行修復，並更新了 Picklescan 工具，以防止類似事件的再次發生。

此次事件再次提醒了技術界，網絡安全問題依舊不容忽視，特別是在 AI 和機器學習的快速發展背景下，保護用戶和平臺的安全顯得尤爲重要。

劃重點:

🛡️ 惡意模型使用 “損壞” 的 pickle 文件技術，成功規避了安全檢測。  

🔍 研究人員發現這些模型暗含反向 shell，連接到硬編碼的 IP 地址。  

🔧 Hugging Face 已對安全掃描工具進行更新，修復了相關漏洞。