Вече коригирана уязвимост в Unsloth Studio позволяваше на зловредно репозиторий на модел в Hugging Face да изпълни Python код, когато потребителят просто избере модела в браузърния интерфейс.

Unsloth отстрани проблема във версия 2026.6.9 и потребителите, използващи Studio, трябва да се актуализират незабавно. Unsloth е популярна библиотека с отворен код, използвана за фина настройка (fine-tuning) и квантуване на големи езикови модели. Нейният компонент Studio е браузърен интерфейс (обозначен като бета), който опростява избора на модели, обучението и свързаните работни процеси.

Проектът има значително разпространение в екосистемата: Hugging Face идентифицира Unsloth като третия по големина източник на деривати на модели в своя Hub, след Qwen и Google.

Уязвимостта беше открита в бекенд работния процес за проверка на модели в Unsloth Studio. Когато оператор избере модел от Hugging Face през интерфейса, Studio проверява конфигурацията на модела, преди да зареди везни (weights) или да стартира извличане на заключения (inference). Засегнатият кодов път обаче е активирал по подразбиране trust_remote_code=True.

Тази настройка е мощна, но опасна. Репозиториите на модели в Hugging Face могат да съдържат персонализирани Python файлове заедно с везните на модела и конфигурационните данни.

Уязвимост за RCE в Unsloth Studio

Файлът config.json на репозиторият може да използва полето auto_map, за да насочи компонентите на Transformers, като AutoConfig, към тези локални Python файлове. Ако отдалеченият код е с доверие, библиотеката Transformers импортира и изпълнява предоставения от репозиторият модул.

В уязвимите версии на Studio това се случваше по време на нещо, което изглеждаше като безобидна проверка на метаданни. Атакуващ можеше да създаде зловредно репозиторий на модел с модифициран config.json, да убеди потребител на Studio да го избере и така да предизвика изпълнение на код в бекенд процеса на Studio.

Не беше необходимо жертвата да зарежда везни на модела, да стартира обучение, да започва извличане на заключения или изрично да одобрява изпълнението на отдалечен код. Кодът се изпълняваше с правата на потребителя, работещ със Studio.

В среди за разработка на изкуствен интелект това може да изложи на риск токени на Hugging Face, идентификационни данни за облака, SSH ключове, фирмени масиви от данни, артефакти от модели и резултати от обучението.

Киберпрестъпниците биха могли също така да манипулират локални модели, да осигурят трайно присъствие (persistence) или да използват достъпните идентификационни данни, за да достигнат до друга инфраструктура. Уязвимата логика на Studio беше включена в стандартния Python пакет unsloth, а не в отделен пакет само за предварителни версии.

Експлоатацията изискваше жертвата да стартира Studio и да избере модел, контролиран от атакуващия. Засегнатият код обаче можеше да бъде инсталиран чрез обикновен PIP процес на инсталация pip install unsloth.

Pillar Security съобщиха за проблема частно в началото на юни 2026 г. Поддържащите Unsloth реагираха и пуснаха корекция за сигурност на 18 юни. Изследователите независимо потвърдиха, че версия 2026.6.9 затваря уязвимите пътища за зареждане на модели от Hugging Face и локални директории.

Поддържащите отказаха да публикуват бюлетин за сигурност, тъй като Studio е било в бета версия, затова не е присвоен CVE код. Организациите трябва да обновят Unsloth Studio до версия 2026.6.9 или по-нова.

Екипите по сигурност трябва също така да третират всяко използване на trust_remote_code=True кактo изпълнение на недоверен софтуер, а не като рутинна опция за зареждане на модел. Фиксирайте репозиториите на модели към известни ревизии, зареждайте ги в изолирана среда и предотвратявайте достъпа до дълготрайни идентификационни данни, където е възможно.

Cut every SOC alert investigation by 21 min. Power your SOC with instant IOC context for immediate response: Integrate TI Lookup in your SOC