網(wǎng)絡(luò )安全領(lǐng)域近期迎來(lái)了一起引人矚目的發(fā)現：在知名機器學(xué)習平臺HuggingFace上，兩個(gè)看似普通的機器學(xué)習模型實(shí)則暗藏玄機。這些模型采用了一種前所未有的技術(shù)——通過(guò)“破壞”pickle文件，巧妙地規避了安全系統的檢測。

據網(wǎng)絡(luò )安全研究員Karlo Zanki透露，這兩個(gè)PyTorch存檔中的pickle文件，在文件頭部竟然隱藏著(zhù)惡意的Python代碼。這些惡意載荷均為針對特定平臺的反向shell，旨在連接到預設的IP地址。

這種新型攻擊手段被命名為nullifAI，其核心在于繞過(guò)現有的安全防護，使惡意模型難以被識別。涉及的兩個(gè)模型存儲庫分別為glockr1/ballr7和who-r-u0000/一串長(cháng)數字組成的名稱(chēng)，它們更像是對該技術(shù)的概念驗證，而非實(shí)際應用于供應鏈攻擊。

pickle序列化格式在機器學(xué)習模型的分發(fā)過(guò)程中極為常見(jiàn)，但其安全性一直備受質(zhì)疑。由于pickle允許在加載和反序列化時(shí)執行任意代碼，因此成為了潛在的安全隱患。這兩個(gè)被發(fā)現的模型雖然采用PyTorch格式，但實(shí)質(zhì)上是以7z壓縮的pickle文件，這與PyTorch默認的ZIP格式不同，從而成功規避了Hugging Face平臺上Picklescan工具的惡意檢測。

Zanki進(jìn)一步分析指出，這些pickle文件的獨特之處在于，對象序列化在惡意載荷執行后會(huì )中斷，導致無(wú)法正確反編譯對象。然而，后續研究表明，盡管存在反序列化錯誤，這些“損壞”的pickle文件仍能被部分反序列化，進(jìn)而執行其內置的惡意代碼。

值得慶幸的是，該安全問(wèn)題已經(jīng)得到及時(shí)修復，Picklescan工具也已更新版本，增強了其檢測能力。這一發(fā)現再次提醒了機器學(xué)習社區，對于pickle文件的安全使用需保持高度警惕。