Unsloth Studio uruchamiał kod złośliwego modelu przy samym jego przeglądaniu

Unsloth Studio, webowy interfejs biblioteki Unsloth do dostrajania i kwantyzacji dużych modeli językowych, uruchamiał kod Pythona dołączony do złośliwego modelu z Hugging Face już przy jego wybraniu. Producent załatał lukę, a Pillar Security nie widzi śladów jej wykorzystania w atakach.

Błąd opisał Ariel Fogel z Pillar Security. Mechanizmem było ustawienie trust_remote_code: do uruchomienia kodu wystarczało odczytanie pliku config.json modelu, bez ładowania wag i bez wnioskowania. Kod działał z uprawnieniami użytkownika, więc atakujący mógł wykraść dostępne dane, zmienić modele i wyniki treningu albo użyć zapisanych poświadczeń, takich jak loginy do chmury czy klucze SSH, do wejścia na inne systemy.

Kogo dotyczy

Użytkowników Unsloth Studio, w tym firmowe środowiska rozwoju AI. Według Fogela nawet wewnętrzne środowisko eksperymentalne, które nie obsługuje ruchu produkcyjnego, może przechowywać wrażliwe dane i uprzywilejowany dostęp.