Três vulnerabilidades de alta gravidade foram divulgadas na biblioteca Diffusers do Hugging Face, permitindo que repositórios de modelos mal elaborados executem código arbitrário de forma silenciosa em máquinas que o carregam. Isso abre a cadeia de suprimentos de inteligência artificial para riscos de segurança.
Detalhes Técnicos
As vulnerabilidades permitem a execução de código arbitrário.
O mecanismo de segurança trust_remote_code foi contornado.
Os repositórios de modelos maliciosos podem ser carregados sem detecção.
Ações Recomendadas
Atualizar a biblioteca Diffusers para a versão mais recente.
Verificar repositórios de modelos para possíveis vulnerabilidades.
Implementar medidas de segurança adicionais para proteger a cadeia de suprimentos de IA.
