Hugging Face scannt Millionen KI-Modelle: Mehr Schutz für die Lieferkette
💡 Quellen-Hinweis: Dieser Beitrag ist eine redaktionelle Zusammenfassung basierend auf einem Originalbericht von Hugging Face Blog.
Sechs Monate nach Start ihrer Kooperation ziehen Hugging Face und Protect AI eine erste Bilanz: Der Dienst Guardian hat auf dem Hugging-Face-Hub Millionen Modellversionen auf potenzielle Risiken geprüft. Das Thema ist für Teams relevant, die Open-Source-Modelle nicht nur herunterladen, sondern in eigene Anwendungen und Prozesse übernehmen. Denn Modellartefakte können neben Gewichten auch Formate, Konfigurationen oder Codepfade enthalten, die beim Laden Risiken erzeugen.
Millionen Scans und sichtbare Hinweise
Nach Angaben im Beitrag wurden bis zum 1. April 2025 rund 4,47 Millionen eindeutige Modellversionen in 1,41 Millionen Repositories untersucht. Dabei meldete Protect AI insgesamt 352.000 unsichere oder verdächtige Befunde in 51.700 Modellen. Die Ergebnisse erscheinen als Hinweise direkt auf Modellseiten und verweisen auf weiterführende Vulnerability-Reports. Für Nutzer schafft das eine zusätzliche Entscheidungshilfe, ersetzt aber keine Prüfung des eigenen Einsatzkontexts.
Der Dienst ergänzt seine Erkennung um vier Module: Sie adressieren unter anderem Archive, die beim Laden Dateien schreiben könnten, verdächtige Joblib-Ausführung, architektonische Backdoors in TensorFlow SavedModels und Llamafile-Risiken während der Inferenz. Zudem nennt der Bericht die Keras-Schwachstelle CVE-2025-1550. Die Erweiterungen sollen sowohl mehr Dateiformate als auch Verschleierungstechniken abdecken.
Warum Zero Trust bei Modellen sinnvoll ist
Guardian bewertet mögliche Codeausführung grundsätzlich vorsichtig. Dahinter steht ein Zero-Trust-Ansatz: Nicht nur offensichtlich bösartige Dateien können problematisch sein, auch komprimierte Payloads, Serialisierung oder Erweiterungsmechanismen eines Frameworks können Angriffsflächen eröffnen. Der Beitrag beschreibt etwa Archive mit Pfadmanipulationen, dynamisches Nachladen von Code und kombinierte Angriffsketten. Gerade mehrere einzeln unauffällige Komponenten können zusammen ein Risiko bilden.
Die Recherche wird durch interne Teams und das Bug-Bounty-Programm huntr ergänzt. Seit dem Start des Programms seien mehr als 200 Meldungen eingegangen und in die Scans eingeflossen. Das zeigt, dass Modell-Sicherheit ein laufender Prozess ist und keine einmalige Kennzeichnung.
Praktischer Kontext für Teams
Wer Modelle aus öffentlichen Hubs bezieht, sollte Warnhinweise als Startpunkt nutzen: Herkunft prüfen, isolierte Testumgebungen einsetzen, Abhängigkeiten aktuell halten und Ladeprozesse minimieren. Besonders bei Formaten mit potenzieller Deserialisierung oder fremdem Code ist Vorsicht geboten. Die Integration von Scans direkt in den Hub senkt die Einstiegshürde, die Verantwortung für sichere Integration bleibt jedoch bei den betreibenden Teams.
Originalquelle: Hugging Face Blog – 4M Models Scanned: Protect AI + Hugging Face 6 Months In
