Los investigadores de ciberseguridad han descubierto que es posible comprometer el servicio de conversi\u00f3n de Hugging Face Safetensors para, en \u00faltima instancia, secuestrar los modelos enviados por los usuarios y provocar ataques a la cadena de suministro.<\/p>\n
“Es posible enviar solicitudes de extracci\u00f3n maliciosas con datos controlados por atacantes desde el servicio Hugging Face a cualquier repositorio de la plataforma, as\u00ed como secuestrar cualquier modelo que se env\u00ede a trav\u00e9s del servicio de conversi\u00f3n”, HiddenLayer dicho<\/a> en un informe publicado la semana pasada.<\/p>\n Esto, a su vez, se puede lograr utilizando un modelo secuestrado que debe ser convertido por el servicio, permitiendo as\u00ed a actores maliciosos solicitar cambios en cualquier repositorio de la plataforma haci\u00e9ndose pasar por el robot de conversi\u00f3n.<\/p>\n Hugging Face es una plataforma de colaboraci\u00f3n popular que ayuda a los usuarios a alojar modelos y conjuntos de datos de aprendizaje autom\u00e1tico previamente entrenados, as\u00ed como a construirlos, implementarlos y entrenarlos.<\/p>\n Los tensores de seguridad son un formato<\/a> ideado por la empresa para almacenar tensores<\/a> teniendo en cuenta la seguridad, a diferencia de los encurtidos, que ha sido probablemente armado<\/a> por actores de amenazas para ejecutar c\u00f3digo arbitrario e implementar stagers Cobalt Strike, Mythic y Metasploit.<\/p>\n Tambi\u00e9n viene con un servicio de conversi\u00f3n<\/a> que permite a los usuarios convertir cualquier modelo de PyTorch (es decir, pepinillo<\/a>) a su equivalente Safetensor mediante una solicitud de extracci\u00f3n.<\/p>\n El an\u00e1lisis de HiddenLayer de este m\u00f3dulo encontr\u00f3 que es hipot\u00e9ticamente posible que un atacante se apodere del servicio de conversi\u00f3n alojado utilizando un binario PyTorch malicioso y comprometa el sistema que lo aloja.<\/p>\n Es m\u00e1s, el token asociado con SFConvertbot<\/a> (un bot oficial dise\u00f1ado para generar la solicitud de extracci\u00f3n) podr\u00eda ser filtrado para enviar una solicitud de extracci\u00f3n maliciosa a cualquier repositorio del sitio, lo que llevar\u00eda a un escenario en el que un actor de amenazas podr\u00eda alterar el modelo e implantar puertas traseras neuronales.<\/p>\n “Un atacante podr\u00eda ejecutar cualquier c\u00f3digo arbitrario cada vez que alguien intentara convertir su modelo”, se\u00f1alaron los investigadores Eoin Wickens y Kasimir Schulz. “Sin ninguna indicaci\u00f3n al usuario, sus modelos podr\u00edan ser secuestrados durante la conversi\u00f3n”.<\/p>\n Si un usuario intenta convertir su propio repositorio privado, el ataque podr\u00eda allanar el camino para el robo de su token Hugging Face, acceder a modelos y conjuntos de datos internos e incluso envenenarlos.<\/p>\n Para complicar a\u00fan m\u00e1s las cosas, un adversario podr\u00eda aprovechar el hecho de que cualquier usuario puede enviar una solicitud de conversi\u00f3n a un repositorio p\u00fablico para secuestrar o alterar un modelo ampliamente utilizado, lo que podr\u00eda generar un riesgo considerable para la cadena de suministro.<\/p>\n “A pesar de las mejores intenciones de proteger los modelos de aprendizaje autom\u00e1tico en el ecosistema de Hugging Face, el servicio de conversi\u00f3n ha demostrado ser vulnerable y tiene el potencial de causar un ataque generalizado a la cadena de suministro a trav\u00e9s del servicio oficial de Hugging Face”, dijeron los investigadores.<\/p>\n “Un atacante podr\u00eda afianzarse en el contenedor que ejecuta el servicio y comprometer cualquier modelo convertido por el servicio”.<\/p>\n El desarrollo se produce poco m\u00e1s de un mes despu\u00e9s de que Trail of Bits revelara LeftoverLocals (CVE-2023-4969<\/a>puntuaci\u00f3n CVSS: 6,5), una vulnerabilidad que permite la recuperaci\u00f3n de datos de unidades de procesamiento de gr\u00e1ficos de prop\u00f3sito general (GPGPU) de Apple, Qualcomm, AMD e Imagination.<\/p>\n El falla de p\u00e9rdida de memoria<\/a>que surge de una falla al aislar adecuadamente la memoria del proceso, permite a un atacante local leer la memoria de otros procesos, incluida la sesi\u00f3n interactiva de otro usuario con un modelo de lenguaje grande (LLM).<\/p>\n “Esta filtraci\u00f3n de datos puede tener graves consecuencias para la seguridad, especialmente dado el aumento de los sistemas de aprendizaje autom\u00e1tico, donde se utiliza la memoria local para almacenar entradas, salidas y pesos de los modelos”, afirman los investigadores de seguridad Tyler Sorensen y Heidy Khlaaf. dicho<\/a>.<\/p>\n <\/p>\n![\"La](\"https:\/\/teknomers.com\/es\/wp-content\/uploads\/2024\/02\/Nueva-vulnerabilidad-en-la-cara-de-abrazo-expone-los-modelos.jpg\")
<\/a><\/center><\/div>\n<\/a><\/center><\/div>\n