Hugging

Компания Hugging Face раскрыла сведения о компрометации инфраструктуры платформы Hugging Face Spaces, предоставляющей инструменты для создания приложений-демонстраций для моделей машинного обучения и поддерживающией каталог подобных приложений. Сотрудники Hugging Face выявили следы несанкционированного доступа к платформе, который мог привести к утечке конфиденциальных данных пользователей, включая ключи и токены. Затронутые утечкой токены отозваны, а пользователям направлено соответствующее уведомление с рекомендацией обновить свои ключи и токены, а также перейти на новые токены, предоставляющие выборочное управление доступом....

Исследователи из компании JFrog выявили в репозитории Hugging Face вредоносные модели машинного обучения, установка которых может привести к выполнению кода атакующего для получения контроля за системой пользователя. Проблема вызвана тем, что некоторые форматы распространения моделей допускают встраивание исполняемого кода, например, модели, использующие формат “pickle”, могут включать сериализированные объекты на языке Python, а также код, выполняемый при загрузке файла, а модели Tensorflow Keras могут исполнять код через Lambda Layer. https://www.opennet.ru/opennews/art.shtml?num=60691