Expediente nullifai-hugging-face-pickleCadena de suministro de IAGlobal
nullifAI: modelos con pickle roto en Hugging Face evaden Picklescan y llevan shells inversos
ReversingLabs halló dos modelos de Hugging Face cuyos flujos pickle comprimidos con 7z y corrompidos deliberadamente ocultaban un shell inverso hacia una IP fija mientras pasaban las comprobaciones de Picklescan de Hugging Face.
MediaAtaque a la IAEstado: ParcheadoExpediente verificado
Abrir en el mapa interactivoCitar este expediente
- Reportado
- 6 feb 2025
- Ubicación
- Global
- Objetivo
- Usuarios de Hugging Face Hub que cargan modelos PyTorch
- Gravedad
- Media
- Provocado por
- Desconocido
- Tipo de actor
- Desconocido
- Pérdida reportada
- Ninguna reportada
- CVE
- Ninguno
Qué ocurrió
ReversingLabs halló dos modelos de Hugging Face cuyos flujos pickle comprimidos con 7z y corrompidos deliberadamente ocultaban un shell inverso hacia una IP fija mientras pasaban las comprobaciones de Picklescan de Hugging Face.
Impacto: Dos modelos con un shell inverso adaptado a la plataforma hacia 107.173.7.141 estuvieron alojados públicamente sin ser detectados por los escaneos de Picklescan, ProtectAI y ClamAV; sin víctimas confirmadas
Quién lo provocó
Actor: Desconocido
Atribución: Subidos por las cuentas glockr1 y who-r-u0000; ReversingLabs evaluó los modelos como más cercanos a una prueba de concepto que a una campaña activa y no los atribuyó
Motivo: Desconocido; la carga útil daba acceso remoto por shell a cualquier máquina que deserializara el modelo
Cómo ocurrió
Vector de ataque: Archivos de modelo PyTorch empaquetados con 7z en lugar de ZIP y un flujo pickle roto tras los opcodes maliciosos, de modo que los escáneres fallaban antes de detectar el shell inverso incrustado
Causa raíz: La deserialización pickle ejecuta código arbitrario por diseño; Picklescan dejaba de analizar ante flujos malformados y no reconocía archivos no ZIP
Cronología
- ReversingLabs reporta los dos repositorios maliciosos a Hugging Face
- Hugging Face elimina los modelos en 24 horas y actualiza Picklescan para manejar archivos pickle rotos
- ReversingLabs publica el informe de la técnica nullifAI con indicadores de compromiso
Respuesta
Hugging Face eliminó los repositorios y parcheó Picklescan; ReversingLabs publicó IOC e instó a usar safetensors en lugar de formatos basados en pickle
Estado actual: Parcheado
Fuentes (pestaña nueva)
- ReversingLabs reversinglabs.com
- The Hacker News thehackernews.com
- Help Net Security helpnetsecurity.com
Citar este expediente
nullifAI: modelos con pickle roto en Hugging Face evaden Picklescan y llevan shells inversos. AI Threat Watch, expediente nullifai-hugging-face-pickle, 6 feb 2025. https://aithreat.io/es/cases/nullifai-hugging-face-pickle/
Enlace permanente: https://aithreat.io/es/cases/nullifai-hugging-face-pickle/