Vulnerabilitate în Hugging Face Transformers Permite Scrierea de Cod Python Controlat de Atacator Înainte de Consimțământul Utilizatorului

O vulnerabilitate de securitate semnificativă a fost identificată în biblioteca Hugging Face Transformers, un instrument utilizat pe scară largă pentru sarcini de procesare a limbajului natural. Defectul, denumit CVE-2024-37074, permite deserializarea datelor nesigure, ducând la executarea de cod Python controlat de atacator. Acest lucru este deosebit de îngrijorător, deoarece se poate întâmpla înainte ca utilizatorul să fie conștient sau să fi acordat permisiunea, compromițând potențial sistemele care utilizează biblioteca.

Defectul provine din modul în care biblioteca gestionează formatul `safetensors`, destinat serializării sigure a ponderilor modelului. Cu toate acestea, la încărcarea anumitor fișiere, biblioteca poate fi păcălită să execute cod Python arbitrar, ocolind verificările standard de securitate. Acest detaliu tehnic înseamnă că orice aplicație sau script care se bazează pe Hugging Face Transformers pentru a încărca modele din surse potențial compromise este expus riscului de injecție de cod.

Această descoperire are implicații majore pentru securitatea ecosistemului de dezvoltare AI și machine learning, având în vedere adoptarea pe scară largă a instrumentelor Hugging Face. Dezvoltatorii sunt sfătuiți insistent să își actualizeze biblioteca Transformers la cea mai recentă versiune, care include remedieri pentru această vulnerabilitate, pentru a atenua riscul de execuție a codului și a-și proteja aplicațiile.