Μολυσμένες Python βιβλιοθήκες σε μοντέλα Hugging Face

Βιβλιοθήκες Python έχουν μολυνθεί με παραποιημένα μεταδεδομένα σε μοντέλα τεχνητής νοημοσύνης, τα οποία μπορούν να εκτελέσουν κακόβουλο κώδικα κατά τη φόρτωσή τους. Οι βιβλιοθήκες NeMo, Uni2TS και FlexTok, που χρησιμοποιούνται σε μοντέλα Hugging Face για Τεχνητή Νοημοσύνη (AI) και Μηχανική Μάθηση (ML), παρουσιάζουν σοβαρές αδυναμίες. Όπως ανακάλυψαν οι ερευνητές της Unit 42 της Palo Alto Networks, οι εγκληματίες μπορούν να τις εκμεταλλευτούν για να κρύψουν κακόβουλο κώδικα στα μεταδεδομένα.

Δείτε επίσης: Το νέο VVS Stealer στοχεύει λογαριασμούς Discord μέσω Python

Μόλις εισαχθεί, ο κώδικας ενεργοποιείται αυτόματα όταν φορτωθεί ένα αρχείο με τα παραποιημένα μεταδεδομένα. Τεχνικά, οι αδυναμίες αφορούν κυρίως τη λειτουργία `instantiate()` της βιβλιοθήκης Hydra. Πρόκειται για μια βιβλιοθήκη Python που χρησιμοποιείται και από τις τρεις βιβλιοθήκες AI και ML. Η Hydra συντηρείται από τη μητρική εταιρεία του Facebook, Meta και χρησιμοποιείται συχνά ως εργαλείο διαχείρισης διαμορφώσεων για έργα μηχανικής μάθησης.

Αν και οι αδυναμίες είναι αρκετά διαδεδομένες, οι ειδικοί ασφαλείας δεν έχουν εντοπίσει ακόμη εκμετάλλευσή τους στην ελεύθερη φύση. Ωστόσο, προειδοποιούν ότι οι επιτιθέμενοι έχουν ακόμα πολλές ευκαιρίες να τις εκμεταλλευτούν. Ο Curtis Carmony, ερευνητής κακόβουλου λογισμικού στην Unit 42, εξηγεί ότι είναι σύνηθες οι προγραμματιστές να δημιουργούν δικές τους παραλλαγές προηγμένων μοντέλων με διαφορετικές ρυθμίσεις και ποσοτικοποιήσεις, συχνά από ερευνητές που δεν ανήκουν σε αναγνωρισμένα ιδρύματα.

Δείτε ακόμα: Η APT36 χρησιμοποίησε το Python ELF malware κατά της ινδικής κυβέρνησης

Οι επιτιθέμενοι θα μπορούσαν απλώς να τροποποιήσουν ένα ήδη υπάρχον, ευρέως διαδεδομένο μοντέλο που προσφέρει πραγματικό ή υποτιθέμενο πλεονέκτημα και να προσθέσουν κακόβουλα μεταδεδομένα. Η κατάσταση επιδεινώνεται από το γεγονός ότι το Hugging Face δεν κάνει τα μεταδεδομένα τόσο εύκολα προσβάσιμα όσο άλλα αρχεία, και τα αρχεία που χρησιμοποιούν το Safetensors ή το NeMo format δεν χαρακτηρίζονται ως δυνητικά μη ασφαλή.

Ένας άλλος παράγοντας είναι ότι, σύμφωνα με την Unit 42, πάνω από 100 βιβλιοθήκες Python χρησιμοποιούνται στο Hugging Face για μοντέλα AI και ML – και σχεδόν 50 από αυτές χρησιμοποιούν τη Hydra. Ο Carmony εξηγεί ότι αυτά τα φορμά δεν είναι από μόνα τους μη ασφαλή, αλλά “ο κώδικας που τα χρησιμοποιεί προσφέρει μια πολύ μεγάλη επιφάνεια επίθεσης“.

Τεχνικά, αυτό σχετίζεται με το πώς οι NeMo, Uni2TS και FlexTok χρησιμοποιούν τη λειτουργία `hydra.utils.instantiate()` για να φορτώσουν διαμορφώσεις από τα μεταδεδομένα των μοντέλων. Αυτό επιτρέπει την εκτέλεση απομακρυσμένου κώδικα (RCE). Οι δημιουργοί ή συντηρητές αυτών των βιβλιοθηκών φαίνεται να έχουν παραβλέψει κάτι, όπως εξηγεί η Unit 42: Η `instantiate()` δέχεται όχι μόνο το όνομα των κλάσεων που πρέπει να δημιουργηθούν, αλλά χρησιμοποιεί επίσης το όνομα οποιασδήποτε καλούμενης λειτουργίας και της περνά τα καθορισμένα επιχειρήματα.

Δείτε επίσης: Κίνδυνος κατάληψης τομέα από παλιά Python Bootstrap Scripts

Αυτό έχει σοβαρές συνέπειες, καθώς μόλις ένας επιτιθέμενος χρησιμοποιήσει ενσωματωμένες λειτουργίες Python όπως eval() και os.system(), μπορεί ευκολότερα να εξάγει κώδικα. Η Meta έχει ενημερώσει την τεκμηρίωση της Hydra και προειδοποιεί τώρα ότι είναι δυνατή η RCE όταν χρησιμοποιείται η `instantiate()`.