حمله سایبری جدید ؛ مدل‌های یادگیری ماشین چگونه در Hugging Face پنهان می‌شوند؟

دو مدل یادگیری ماشین مخرب در Hugging Face با استفاده از تکنیک فایل های “پیکلز” شکسته، از شناسایی فرار کردند. این مدل ها که به فرمت PyTorch ذخیره شده اند، از فرمت فشرده سازی 7z به جای ZIP پیش فرض استفاده کرده اند و به همین دلیل توسط ابزار Picklescan شناسایی نشدند. این رویداد نشان دهنده آسیب پذیری فرمت پیکلز و نیاز به بهبود مکانیزم های امنیتی در پلتفرم های اشتراک گذاری مدل های یادگیری ماشین است.

به گزارش زوم تک از هکر نیوز، محققان امنیت سایبری دو مدل یادگیری ماشین مخرب را در Hugging Face کشف کرده اند که از یک تکنیک غیرمعمول از فایل های “پیکلز” شکسته برای فرار از شناسایی استفاده می کردند.

جزئیات حمله سایبری جدید

کارلو زانکی، محقق ReversingLabs، در گزارشی که با هکر نیوز به اشتراک گذاشت، گفت: “فایل های پیکلز استخراج شده از آرشیوهای PyTorch ذکر شده، محتوای پایتون مخرب را در ابتدای فایل نشان دادند. در هر دو مورد، بارگذاری مخرب یک پوسته معکوس آگاه از پلتفرم معمولی بود که به یک آدرس IP کدگذاری شده متصل می شد.”

تکنیک NullifAI و مخفی ماندن مدل ها در حمله سایبری جدید

این رویکرد nullifAI نامیده شده است، زیرا شامل تلاش های آشکاری برای دور زدن محافظت های موجود برای شناسایی مدل های مخرب است. مخازن Hugging Face در زیر فهرست شده اند:

glockr1/ballr7
who-r-u0000/0000000000000000000000000000000000000
اعتقاد بر این است که این مدل ها بیشتر یک اثبات مفهوم (PoC) هستند تا یک سناریوی فعال حمله زنجیره تامین.

آسیب پذیری فرمت پیکلز

فرمت سریال سازی پیکلز، که معمولا برای توزیع مدل های ML استفاده می شود، بارها به عنوان یک خطر امنیتی شناخته شده است، زیرا راه هایی را برای اجرای کد دلخواه به محض بارگذاری و سریال زدایی آنها ارائه می دهد.

نحوه عملکرد مدل های مخرب

دو مدلی که توسط شرکت امنیت سایبری شناسایی شده اند، در فرمت PyTorch ذخیره می شوند که چیزی جز یک فایل پیکلز فشرده نیست. در حالی که PyTorch به طور پیش فرض از فرمت ZIP برای فشرده سازی استفاده می کند، مدل های شناسایی شده با استفاده از فرمت 7z فشرده شده اند. در نتیجه، این رفتار باعث شد که مدل ها زیر رادار پرواز کنند و از علامت گذاری به عنوان مخرب توسط Picklescan، ابزاری که توسط Hugging Face برای شناسایی فایل های پیکلز مشکوک استفاده می شود، جلوگیری کنند.

توضیحات محقق ReversingLabs

زانکی گفت: “نکته جالب در مورد این فایل پیکلز این است که سریال سازی شی – هدف فایل پیکلز – مدت کوتاهی پس از اجرای بارگذاری مخرب، خراب می شود و منجر به شکست تجزیه شی می شود.”

نحوه دور زدن Picklescan

تجزیه و تحلیل بیشتر نشان داده است که چنین فایل های پیکلز شکسته ای به دلیل اختلاف بین Picklescan و نحوه عملکرد سریال زدایی، همچنان می توانند تا حدی سریال زدایی شوند و باعث اجرای کد مخرب شوند، علیرغم اینکه این ابزار پیام خطا پرتاب می کند. این ابزار منبع باز از آن زمان به روز شده است تا این اشکال را برطرف کند.

توضیح بیشتر در مورد نحوه سریال زدایی

زانکی خاطرنشان کرد: “توضیح این رفتار این است که سریال زدایی شی به صورت متوالی روی فایل های پیکلز انجام می شود. کد های عملیات پیکلز همانطور که با آنها مواجه می شوند اجرا می شوند و تا زمانی که همه کد های عملیات اجرا شوند یا یک دستورالعمل شکسته با آن مواجه شود. در مورد مدل کشف شده، از آنجا که بارگذاری مخرب در ابتدای جریان پیکلز قرار داده شده است، اجرای مدل توسط ابزارهای اسکن امنیتی موجود Hugging Face به عنوان ناامن شناسایی نمی شود.”