Dossier nullifai-hugging-face-pickleChaîne d’approvisionnement IAMondial
nullifAI : des modèles à pickle corrompu sur Hugging Face échappent à Picklescan
ReversingLabs a découvert deux modèles Hugging Face dont les flux pickle compressés en 7z et délibérément corrompus dissimulaient un reverse shell vers une IP codée en dur, tout en passant les contrôles Picklescan de Hugging Face.
MoyenneAttaque contre l’IAStatut: CorrigéDossier vérifié
Ouvrir dans la carte interactiveCiter ce dossier
- Signalé le
- 6 févr. 2025
- Lieu
- Mondial
- Cible
- Utilisateurs du Hugging Face Hub chargeant des modèles PyTorch
- Gravité
- Moyenne
- Déclenché par
- Inconnu
- Type d’acteur
- Inconnu
- Perte déclarée
- Aucune déclarée
- CVE
- Aucun
Ce qui s’est passé
ReversingLabs a découvert deux modèles Hugging Face dont les flux pickle compressés en 7z et délibérément corrompus dissimulaient un reverse shell vers une IP codée en dur, tout en passant les contrôles Picklescan de Hugging Face.
Impact: Deux modèles dotés d'un reverse shell adapté à la plateforme vers 107.173.7.141 ont été hébergés publiquement sans être détectés par les analyses Picklescan, ProtectAI et ClamAV ; aucune victime confirmée
Qui l’a déclenché
Acteur: Inconnu
Attribution: Téléversés par les comptes glockr1 et who-r-u0000 ; ReversingLabs a estimé que les modèles relevaient davantage de la preuve de concept que d'une campagne active et ne les a pas attribués
Mobile: Inconnu ; la charge utile donnait un accès shell à distance à toute machine désérialisant le modèle
Comment c’est arrivé
Vecteur d’attaque: Fichiers de modèles PyTorch empaquetés en 7z plutôt qu'en ZIP, avec un flux pickle rompu après les opcodes malveillants, de sorte que les scanners échouaient avant de signaler le reverse shell intégré
Cause racine: La désérialisation pickle exécute du code arbitraire par conception ; Picklescan interrompait l'analyse sur les flux malformés et ne reconnaissait pas les archives non ZIP
Chronologie
- ReversingLabs signale les deux dépôts malveillants à Hugging Face
- Hugging Face retire les modèles sous 24 heures et met à jour Picklescan pour gérer les fichiers pickle corrompus
- ReversingLabs publie l'analyse de la technique nullifAI avec des indicateurs de compromission
Réponse
Hugging Face a retiré les dépôts et corrigé Picklescan ; ReversingLabs a publié des IOC et recommandé safetensors plutôt que les formats basés sur pickle
Statut actuel: Corrigé
Sources (nouvel onglet)
- ReversingLabs reversinglabs.com
- The Hacker News thehackernews.com
- Help Net Security helpnetsecurity.com
Citer ce dossier
nullifAI : des modèles à pickle corrompu sur Hugging Face échappent à Picklescan. AI Threat Watch, dossier nullifai-hugging-face-pickle, 6 févr. 2025. https://aithreat.io/fr/cases/nullifai-hugging-face-pickle/
Lien permanent: https://aithreat.io/fr/cases/nullifai-hugging-face-pickle/