Hugging Face漏洞可致RCE攻击，全球AI供应链面临重大风险

FreeBuf

2026年6月8日 19:17
上海

在小说阅读器读本章

去阅读

最新披露的HuggingFace Transformers库关键漏洞（CVE-2026-4372）允许攻击者通过恶意模型配置文件实现远程代码执行（RCE），暴露了这一广泛使用的机器学习框架中存在的重大供应链风险，波及全球开发者、企业及 AI 工作流程。

Part01

漏洞技术分析

漏洞源于对模型配置文件中不可信数据的处理不当,特别是其中的_attn_implementation_internal属性。攻击者可将该字段注入模型的config.json文件，从而使库在标准模型加载过程中加载并执行任意 Python 代码。

尤为值得警惕的是，即使启用了trust_remote_code=False这一关键安全控制，该漏洞仍可将其绕过。

Part02

影响范围与攻击链

该漏洞影响Transformers 4.56.0至5.2.x版本（需配合可选的内核包使用）。漏洞代码路径于2025年8月引入，直至2026年3月仍可被利用，形成了约6个月的暴露窗口期。在此期间，任何使用常见from\_pretrained()函数从HuggingFace Hub加载恶意模型的用户都可能被悄无声息地入侵。

在一种典型攻击中，威胁行为者向 HuggingFace Hub 上传看似正常的模型，并通过其config.json中的恶意 _attn_implementation_internal 字段，将代码指向外部攻击者控制的代码库。当受害者加载模型时，Transformers 库会自动拉取并导入该代码，由于缺乏任何验证或沙箱机制，受害者系统会瞬间执行恶意代码。

成功利用该漏洞可使攻击者获取敏感数据（包括AWS凭证、SSH密钥、API令牌和环境变量），建立持久化机制，在基础设施内横向移动，甚至可能破坏CI/CD流水线。

Part03

漏洞危害与修复方案

由于攻击在正常模型加载过程中执行，不会产生任何警告或可见迹象，使得检测极为困难。Transformers库安装量超过22亿次，月均下载量约1.46亿次。HuggingFace Hub托管着超过100万个模型，攻击面极为广泛。在暴露期内，估计有2.32亿次安装处于易受攻击状态，大大增加了实际利用的可能性。

Pluto Security研究人员指出，该漏洞凸显了机器学习生态系统中更广泛的问题：将模型文件和配置视为可信输入。其他框架中也观察到类似模式，由于未完全考虑内部路径，\"安全\"模式无法阻止代码执行。

HuggingFace已在5.3.0版本中修复该问题，通过在配置解析过程中阻止不安全的内部属性，并对内核加载实施更严格的控制。修复还确保外部代码执行需要通过trust\_remote\_code=True获得用户的明确同意。强烈建议使用Transformers的组织立即升级至5.3.0或更高版本。

此外，团队应审计先前下载的模型，监控可疑的出站连接，并隔离模型执行环境以降低风险。CVE-2026-4372突显了保护AI供应链日益增长的重要性。随着机器学习应用的加速，攻击者越来越多地瞄准模型分发平台，将可信工作流转变为高影响力的攻击载体。

参考来源：

Critical Vulnerability in Hugging Face Transformers Enables Remote Code Execution Attacks

https://cybersecuritynews.com/hugging-face-rce-vulnerability/

推荐阅读

电报讨论