近期，網(wǎng)絡(luò)安全領(lǐng)域曝光了一起針對(duì)HuggingFace平臺(tái)的惡意機(jī)器學(xué)習(xí)模型事件。據(jù)The Hacker News報(bào)道，安全研究人員在該平臺(tái)上發(fā)現(xiàn)了兩個(gè)利用非常規(guī)手段規(guī)避安全檢測(cè)的惡意模型。

ReversingLabs的研究員Karlo Zanki詳細(xì)介紹了這些模型的運(yùn)作機(jī)制。他指出，從PyTorch存檔中提取的pickle文件，在文件頭部隱藏著惡意的Python代碼。這些惡意載荷實(shí)際上是平臺(tái)特定的反向shell，旨在連接到預(yù)設(shè)的硬編碼IP地址。

這種攻擊手段被命名為nullifAI，其核心目的是繞過(guò)現(xiàn)有的安全防護(hù)措施，以避免被識(shí)別為惡意模型。涉及的兩個(gè)相關(guān)模型存儲(chǔ)庫(kù)分別是glockr1/ballr7和who-r-u0000/0000000000000000000000000000000000000。

據(jù)分析，這些模型更多被視為概念驗(yàn)證（PoC），而非真實(shí)的供應(yīng)鏈攻擊案例。然而，它們所揭示的安全隱患不容忽視。Pickle序列化格式在機(jī)器學(xué)習(xí)模型分發(fā)中廣泛應(yīng)用，但因其允許在加載和反序列化時(shí)執(zhí)行任意代碼，一直被視為潛在的安全風(fēng)險(xiǎn)。

此次檢測(cè)出的惡意模型采用了PyTorch格式，但實(shí)質(zhì)上是壓縮的pickle文件。值得注意的是，雖然PyTorch默認(rèn)使用ZIP格式壓縮，但這兩個(gè)模型卻使用了7z格式。這種不同的壓縮方式使它們成功規(guī)避了Hugging Face的Picklescan工具的惡意檢測(cè)。

Zanki進(jìn)一步強(qiáng)調(diào)，這些pickle文件的一個(gè)獨(dú)特之處在于，對(duì)象序列化在惡意載荷執(zhí)行后會(huì)中斷，導(dǎo)致無(wú)法正確反編譯對(duì)象。這意味著，即使存在反序列化錯(cuò)誤，損壞的pickle文件仍然能夠部分反序列化并執(zhí)行惡意代碼。

幸運(yùn)的是，該問(wèn)題已被及時(shí)修復(fù)，Picklescan工具也已更新版本以應(yīng)對(duì)此類(lèi)攻擊。這一事件再次提醒了機(jī)器學(xué)習(xí)社區(qū)，關(guān)于pickle文件的安全使用需保持高度警惕。

安全研究人員還呼吁開(kāi)發(fā)者在分發(fā)機(jī)器學(xué)習(xí)模型時(shí)，采用更安全的方法來(lái)處理pickle文件，以避免潛在的安全風(fēng)險(xiǎn)。同時(shí)，平臺(tái)方也應(yīng)加強(qiáng)安全防護(hù)措施，提升對(duì)惡意模型的檢測(cè)能力。

盡管此次事件未造成大規(guī)模損害，但它無(wú)疑為機(jī)器學(xué)習(xí)社區(qū)敲響了警鐘。未來(lái)，隨著機(jī)器學(xué)習(xí)技術(shù)的不斷發(fā)展，安全問(wèn)題將愈發(fā)凸顯。因此，加強(qiáng)安全防護(hù)、提升安全意識(shí)將是永恒的主題。

同時(shí)，此次事件也揭示了網(wǎng)絡(luò)安全領(lǐng)域的復(fù)雜性和多樣性。攻擊者總是不斷尋找新的漏洞和攻擊手段，而防御方則需時(shí)刻保持警惕，不斷更新和完善安全防護(hù)體系。