A JFrog Security Research descobriu três vulnerabilidades críticas de dia zero no PickleScan, uma ferramenta padrão do setor amplamente adotada para verificar modelos de aprendizado de máquina e detectar conteúdo malicioso.
Essas vulnerabilidades permitiriam que os invasores contornassem completamente os mecanismos de detecção de malware do PickleScan, facilitando potencialmente ataques em grande escala à cadeia de suprimentos ao distribuir modelos de ML maliciosos contendo código indetectável.
As descobertas sublinham uma fraqueza fundamental na Segurança de IA dependência do ecossistema em uma única solução de segurança.
A popularidade do PyTorch no aprendizado de máquina traz consigo uma carga de segurança significativa. A biblioteca hospeda mais de 200.000 modelos disponíveis publicamente em plataformas como Hugging Face, mas depende do formato de serialização “pickle” do Python por padrão.
Embora a flexibilidade do pickle permita a reconstrução de qualquer objeto Python, essa mesma característica cria uma vulnerabilidade crítica: arquivos pickle podem incorporar e executar código Python arbitrário durante a desserialização.
Quando os usuários carregam um modelo PyTorch não confiável, eles correm o risco de executar código malicioso capaz de exfiltrar dados confidenciais, instalar backdoors ou comprometer sistemas inteiros.
Esta ameaça não é teórica. Modelos maliciosos já foram descobertos no Hugging Face, visando cientistas de dados desavisados com backdoors silenciosos.
PickleScan surgiu como a linha de frente de defesa do setor, analisando o bytecode pickle para detectar operações perigosas antes da execução.
A ferramenta analisa arquivos no nível de bytecode, faz referência cruzada de resultados com uma lista de bloqueio de importações perigosas e oferece suporte a vários formatos PyTorch.
No entanto, seu modelo de segurança baseia-se em uma suposição crítica: o PickleScan deve interpretar os arquivos de forma idêntica à forma como o PyTorch os carrega. Qualquer divergência na análise cria lacunas de segurança exploráveis.
Três vulnerabilidades críticas
A primeira vulnerabilidade (CVE-2025-10155, CVSS 9.3) explora a lógica de detecção de tipo de arquivo do PickleScan.
Ao renomear um arquivo pickle malicioso com uma extensão relacionada ao PyTorch, como .bin ou .pt, os invasores podem fazer com que o scanner específico do PyTorch do PickleScan falhe enquanto o próprio PyTorch carrega o arquivo com sucesso, analisando seu conteúdo em vez de sua extensão. O carga maliciosa executa sem ser detectado.
A segunda vulnerabilidade (CVE-2025-10156, CVSS 9.3) envolve erros CRC (Cyclic Redundancy Check) em arquivos ZIP.
O PickleScan falha completamente ao encontrar incompatibilidades de CRC, gerando exceções que interrompem a verificação.
No entanto, o carregamento do modelo do PyTorch geralmente ignora essas verificações CRC, criando uma discrepância perigosa onde o PickleScan marca os arquivos como não verificados enquanto o PyTorch carrega e executa seu conteúdo com sucesso.
A terceira vulnerabilidade (CVE-2025-10157, CVSS 9.3) revela que a verificação global insegura do PickleScan pode ser contornada usando subclasses de importações perigosas em vez de nomes exatos de módulos.
Por exemplo, importar classes internas de uma biblioteca asyncio na lista negra ignora totalmente a verificação, permitindo que invasores injetem cargas maliciosas enquanto o PickleScan categoriza a ameaça como meramente “suspeita” em vez de “perigosa”.
Implicações de segurança sistêmica
Estas vulnerabilidades expõem problemas mais profundos na infraestrutura de segurança de IA. O único ponto de falha do ecossistema em torno do PickleScan significa que, quando a ferramenta falha, arquiteturas de segurança inteiras entram em colapso.
As organizações que dependem do Hugging Face, que integra o PickleScan para digitalizar milhões de modelos carregados, enfrentam riscos específicos.
As vulnerabilidades demonstram como as divergências entre as ferramentas de segurança e as aplicações alvo criam lacunas exploráveis, uma lição crítica para os profissionais de segurança de IA.
As organizações devem atualizar imediatamente para a versão 0.0.31 do PickleScan, que aborda todas as três vulnerabilidades.
No entanto, este patch por si só é insuficiente. A implementação de defesas em camadas, incluindo ambientes em sandbox e proxies de repositório de modelos seguros, como o JFrog Artifactory, fornece proteção adicional.
As organizações devem priorizar a migração para formatos de modelo de ML mais seguros, como Safetensors, ao mesmo tempo em que implementam a remoção automatizada de verificações de segurança com falha.
A comunidade de segurança da IA deve reconhecer que nenhuma ferramenta pode garantir uma proteção abrangente e que estratégias de defesa profunda continuam a ser essenciais neste cenário de ameaças em evolução.
Siga-nos emGoogle Notícias,LinkedIneXpara obter atualizações instantâneas e definir GBH como fonte preferencial emGoogle.