案例 nullifai-hugging-face-pickleAI 供应链全球
nullifAI：Hugging Face损坏pickle模型绕过扫描暗藏反向shell
ReversingLabs发现Hugging Face上两个模型以7z压缩、故意损坏的pickle流隐藏了指向硬编码IP的反向shell，同时通过了Hugging Face的Picklescan检查。
中针对 AI 的攻击状态: 已修补已核实案例档案
- 报道日期
- 2025年2月6日
- 地点
- 全球
- 目标
- 加载PyTorch模型的Hugging Face Hub用户
- 严重程度
- 中
- 发起者
- 未知
- 行为者类型
- 未知
- 已报告损失
- 未报告
- CVE
- 无
发生了什么
ReversingLabs发现Hugging Face上两个模型以7z压缩、故意损坏的pickle流隐藏了指向硬编码IP的反向shell，同时通过了Hugging Face的Picklescan检查。
影响: 两个带有平台感知反向shell（连接107.173.7.141）的模型被公开托管，且未被Picklescan、ProtectAI和ClamAV扫描检出；无确认受害者
谁发起了攻击
行为者: 未知
归因: 由账户glockr1和who-r-u0000上传；ReversingLabs评估这些模型更接近概念验证而非活跃攻击，未作归因
动机: 未知；载荷可让攻击者远程shell访问任何反序列化该模型的机器
如何发生
攻击途径: PyTorch模型文件以7z而非ZIP打包，且pickle流在恶意操作码之后被破坏，使扫描器在标记嵌入的反向shell之前就报错退出
根本原因: pickle反序列化在设计上就会执行任意代码；Picklescan在遇到畸形流时停止分析，且无法识别非ZIP归档
时间线
- ReversingLabs向Hugging Face报告两个恶意仓库
- Hugging Face在24小时内移除模型并更新Picklescan以处理损坏的pickle文件
- ReversingLabs发布nullifAI技术分析及入侵指标
应对
Hugging Face移除了相关仓库并修补了Picklescan；ReversingLabs发布IOC并敦促使用safetensors而非基于pickle的格式
当前状态: 已修补
来源（在新标签页打开）
- ReversingLabs reversinglabs.com
- The Hacker News thehackernews.com
- Help Net Security helpnetsecurity.com
引用此案例
nullifAI：Hugging Face损坏pickle模型绕过扫描暗藏反向shell. AI Threat Watch, 案例 nullifai-hugging-face-pickle, 2025年2月6日. https://aithreat.io/zh/cases/nullifai-hugging-face-pickle/
永久链接: https://aithreat.io/zh/cases/nullifai-hugging-face-pickle/