来自Pickle文件和堆叠有效载荷的LLM模型安全风险

从头开始构建大型语言模型需要数据、计算资源和时间，而大多数组织并不具备这些条件。因此，开发团队通常会从 Hugging Face、Kaggle 和 PyPI 等公共平台下载预训练模型。这种依赖性形成了一种供应链攻击途径，而许多安全项目至今仍对此视而不见。

各组织已经对其引入到自身环境中的开源库和容器镜像进行了审查。但很少有组织将同样的审查标准延伸到团队下载的人工智能模型上，尽管模型文件并非仅仅是一张数字表格。根据其格式不同，模型文件可能是一个在加载的瞬间就会运行的程序。

仅Hugging Face一个平台就托管着超过100万个模型，其中绝大多数从未经过安全审查。根据JFrog发布的《Software Supply Chain 2026年现状报告》，目前有53%的组织直接从公共注册库中获取模型，而研究人员在这些注册库中发现了大约495个恶意模型，这些模型能够窃取凭证、执行代码并完全控制系统。大型语言模型（LLM）是一种能够跨越信任边界的可执行软件。

Pickle 是 Python 的原生序列化格式，多年来一直是将模型保存到磁盘的标准方式。PyTorch 基于该格式构建了其 .pt、.pth 和 .bin 文件，许多模型也以这些格式发布。如今虽然已有更安全的替代方案，但这些方案被视为抽象的商业术语而被忽略。目前在公共模型库中流通的大部分模型仍然基于 Pickle，各团队每天都在加载这些模型。

Pickle 存储的不仅仅是数据。它是一条指令流，虚拟机在加载文件并重建 Python 对象时会执行该指令流。该指令流可以调用任意函数，因此加载基于 Pickle 的模型时，也会执行代码。

攻击者利用pickle的REDUCE指令，该指令会指示加载器在解序列化过程中，使用攻击者指定的参数调用某个指定函数。在此过程中，模型仍会像合法文件一样加载并运行，攻击者可借此启动反向shell、投放第二阶段有效载荷，或覆盖SSH密钥。

TensorFlow 和 Keras 都存在类似的风险。恶意的 TensorFlow 图可能会将文件写入或网络操作符偷偷植入计算图中，而 Keras 的 Lambda 层则可能携带经过序列化的 Python 字节码，这些字节码会在加载时反序列化。这两种格式都允许文件携带可执行行为。这种风险是结构性的，因此仅修复单个漏洞并不能消除它。这一局限性迫使业界寻找一种更安全的格式。

关于模型复用攻击的警告最早出现在2018年。随后，研究人员证实了这种风险在实际中确实存在。2024年1月，一个名为star23/baller13的模型出现在Hugging Face上，其PyTorch文件中嵌入了反向shell。该模型既能实现远程访问，又能伪装成有效的模型。

到2025年5月，该威胁已蔓延至传统的供应链领域。攻击者发布了一系列名为 aliyun-ai-labs-snippets-sdk、ai-labs-snippets-sdk 和 aliyun-ai-labs-sdk 的 PyPI 软件包，这些软件包冒充阿里巴巴的 AI 工具包，并在使用过程中悄无声息地加载恶意模型。这些包上线时间不足24小时，却已被下载约1,600次；这再次提醒我们，当下载过程由自动依赖项解析机制完成时，极短的暴露时间就已绰绰有余。

到2024年，攻击者开始将目标锁定在那些旨在检测恶意模型的扫描器上。最明显的例子就是“Stacked Pickle”技术，该技术通过嵌套多个pickle对象，将恶意指令分散到各层中，然后对其进行压缩和编码处理。

单独查看时，每一层似乎都无害，因此仅停留在表面层面的扫描和人工审查都无法发现任何异常。当模型加载时，各层会按顺序解压，并重新组装成有效载荷。使用该技术构建的一个概念验证样本在VirusTotal的所有引擎上均未被检测到。

仅检查可见层的扫描器可能会遗漏隐藏在文件更深处的有效载荷。这就是该样本能够通过所有扫描引擎检测的原因。

Safetensors 在不依赖执行引擎的情况下存储模型权重。每个文件包含一个紧凑的元数据头，其中描述了每个张量的形状、数据类型和字节偏移量，随后是原始张量的字节数据。它没有指令流、虚拟机，也没有类似于 pickle 中 REDUCE 的功能，因此无法指示加载器调用函数。

Safetensors 文件是加载器读取的静态数据。即使是恶意构造的文件，在加载时也无法执行代码，因为该格式没有提供供代码运行的途径。

传统格式的症结从来不在于权重本身，而在于文件中还可能包含可执行指令。Hugging Face 与 EleutherAI 及 Stability AI 合作，开发了 Safetensors 这一专为替代传统格式而设计的解决方案，它在保留团队所需权重文件功能的同时，去除了该功能。

Safetensors 还非常实用。它通过内存映射的零拷贝访问实现快速加载，可在 PyTorch、TensorFlow、JAX 及其他框架中运行，并已成为大多数新模型发布的默认选择。这些优势使其在无需强制要求的情况下得以广泛普及。

模型可通过网络下载、电子邮件、文件传输平台以及自动化管道等方式获取。检查点必须覆盖所有传输路径，同时不强制组织重新设计承载流量的基础设施。

对于网络通道，MetaDefender Aether 通过ICAP 进行集成，该标准协议已被代理服务器、电子邮件网关和文件传输平台广泛采用，用于将文件传递给检查服务。当流量从未经过网络设备时，则可通过 REST 接口API 进行相同的分析。

• Web 下载。当开发人员从 Hugging Face 或 Kaggle 下载模型时，代理或安全 Web 网关会通过ICAP 将下载请求转发至MetaDefender Aether，从而在恶意 pickle 文件到达端点之前将其拦截。

• 电子邮件。作为附件共享的模型文件和AI工具将通过与其他附件相同的处理流程进行提取和分析，从而堵住了绕过注册表级控制的社会工程学攻击途径。

• 文件传输。与合作伙伴及供应商交换的文件，或通过托管文件传输在内部区域之间传输的文件，都会在传输过程中接受扫描，因此即使文件从未接触过公共枢纽，信任边界依然有效。

• 自动化管道和注册表。构建能够通过编程方式获取模型，并通过API 提交模型的构建任务和机器学习平台，确保在将任何内容推广到内部注册表之前完成上述操作，从而彻底封堵了阿里巴巴PyPI包所利用的漏洞——在该漏洞中，依赖项解析过程会自动完成下载，且无人会注意到任何可疑文件。

每条路由都使用相同的检查流程和判定逻辑，因此不存在任何未受监控的通道供攻击者利用。

安全团队通常无法有效管理模型风险，因为禁止从公共枢纽下载模型并不现实。MetaDefender Aether 允许开发人员保留现有工作流程，同时让构建管道以仿真速度对模型进行在线扫描。被拦截的下载会附带一份说明判定结果的证据报告。

了解MetaDefender Aether如何在大型语言模型（LLM）文件跨越您的信任边界之前对其进行检查。