Auf den Punkt: Drei High-Severity-Lücken in Hugging Face Diffusers umgehen den trust_remote_code-Schutzmechanismus und ermöglichen Codeausführung allein durch das Laden präparierter Modell-Repositories.
In der Diffusers-Bibliothek von Hugging Face wurden drei Sicherheitslücken mit hohem Schweregrad offengelegt, über die manipulierte Modell-Repositories beim Laden unbemerkt beliebigen Code ausführen können. Die Schwachstellen hebeln dabei gezielt die Schutzfunktion trust_remote_code aus.
Sicherheitsforscher haben drei Schwachstellen mit hohem Schweregrad in der Diffusers-Bibliothek von Hugging Face offengelegt, die weit verbreitete Python-Bibliothek zum Laden und Betreiben von Diffusionsmodellen für Bild-, Video- und Audiogenerierung. Die Lücken erlauben es, präparierte Modell-Repositories so zu gestalten, dass sie beim Laden auf dem Zielsystem beliebigen Code ausführen, ohne dass Nutzende dies bemerken. Betroffen ist damit der zentrale Mechanismus, mit dem Modelle aus dem Hugging Face Hub oder anderen Quellen in Anwendungen eingebunden werden.
Im Kern der Schwachstellen steht die Umgehung von trust_remote_code, einer Schutzfunktion, die verhindern soll, dass unüberprüfter Code aus Modell-Repositories ausgeführt wird. Diese Einstellung gilt in vielen Organisationen als Standard-Absicherung, wenn Modelle von Drittanbietern oder aus offenen Repositories geladen werden. Die nun bekannt gewordenen Lücken zeigen, dass dieser Schutz durch entsprechend konstruierte Repository-Inhalte umgangen werden kann, wodurch Code auch dann zur Ausführung kommt, wenn trust_remote_code auf False gesetzt oder explizit deaktiviert wurde.
Für Organisationen, die KI-Modelle aus offenen Quellen wie dem Hugging Face Hub in Produktionsumgebungen, Trainingspipelines oder Forschungsinfrastruktur einbinden, entsteht damit ein Angriffsvektor auf die KI-Lieferkette selbst: Ein kompromittiertes oder bösartig präpariertes Modell-Repository kann als Einfallstor für Codeausführung auf internen Systemen dienen, unabhängig davon, ob es sich um bekannte, verifizierte Anbieter oder anonyme Uploads handelt. Da Diffusers in zahlreichen Bild- und Videogenerierungs-Workflows sowie in nachgelagerten Produkten zum Einsatz kommt, reicht die potenzielle Angriffsfläche über einzelne Data-Science-Teams hinaus in produktive Anwendungen.
CISOs sollten kurzfristig prüfen, welche internen Systeme die Diffusers-Bibliothek einsetzen und ob geladene Modell-Repositories aus nicht vollständig vertrauenswürdigen Quellen stammen. Bis gepatchte Versionen verfügbar sind beziehungsweise flächendeckend ausgerollt wurden, empfiehlt sich eine zusätzliche Isolation von Modell-Lade-Prozessen, etwa durch Sandboxing oder restriktive Netzwerksegmentierung, da die Umgehung von trust_remote_code zeigt, dass diese Einstellung allein nicht als ausreichende Kontrolle gegen Supply-Chain-Risiken im KI-Ökosystem gelten kann.
Quelle: thehackernews.com · Erschienen 3. August 2026
Lumi AI News — KI-assistierte Kuratierung gemaess Art. 50 EU AI Act. Paraphrase und Klassifikation durch Lumi News Pipeline v1.8.3.