源自 Pickle 檔案與堆疊式載荷的 LLM 模型安全風險

要從頭開始建構大型語言模型，需要數據、運算資源和時間，而大多數組織都不具備這些條件。因此，團隊通常會從 Hugging Face、Kaggle 和 PyPI 等公開平台下載預訓練模型。這種依賴性已形成一種供應鏈攻擊途徑，但許多資安計畫至今仍對此視而不見。

各組織通常會對導入其環境中的開源函式庫和容器映像進行審查。然而，儘管模型檔案並非單純的數字試算表，但鮮少有組織會將同樣嚴格的審查標準延伸至團隊所下載的人工智慧模型。視其格式而定，模型檔案可能是一種在載入的瞬間便會執行的程式。

僅 Hugging Face 一家就託管了超過一百萬個模型，其中大部分從未經過安全審查。根據 JFrog 的《Software Supply Chain 2026 年現況報告》，目前有 53% 的組織直接從公開註冊庫中取得模型，而研究人員在這些註冊庫中發現了約 495 個惡意模型，這些模型具備竊取憑證、執行程式碼以及完全控制系統的能力。大型語言模型（LLM）是一種會跨越信任邊界的可執行軟體。

Pickle 是 Python 的原生序列化格式，多年來一直是將模型儲存至磁碟的標準方式。PyTorch 正是以此為基礎建構了其 .pt、.pth 和 .bin 檔案，許多模型也以這些格式發布。如今雖已有更安全的選項，但這些選項被視為抽象的商業術語而被忽略。目前在公開平台流通的模型中，仍有很大一部分基於 Pickle，而各團隊每天都在載入這些模型。

Pickle 儲存的不僅是資料。它是一條指令流，虛擬機器會在載入檔案並重建 Python 物件時執行這條指令流。由於這條指令流可以呼叫任意函式，因此載入基於 Pickle 的模型時，也會執行程式碼。

攻擊者利用 pickle 的 REDUCE 指令，該指令會指示載入器在解封裝過程中，使用攻擊者自選的參數來呼叫指定函式。此攻擊可在模型仍以合法檔案形式載入並運作的同時，啟動反向殼層、釋放第二階段有效載荷，或覆寫 SSH 金鑰。

TensorFlow 和 Keras 都存在類似的風險。惡意的 TensorFlow 圖可以將檔案寫入或網路運算子偷偷植入計算圖中，而 Keras 的 Lambda 層則可能攜帶經過序列化的 Python 位元組碼，這些位元組碼會在載入時進行反序列化。這兩種格式都允許檔案攜帶可執行行為。由於這是結構性的風險，因此僅修補單一漏洞並無法消除此風險。這項限制迫使業界必須尋找更安全的格式。

關於模型重複利用攻擊的警告最早出現在 2018 年。研究人員隨後證實，此類風險在實際情境中確實存在。2024 年 1 月，一個名為 star23/baller13 的模型出現在 Hugging Face 上，其 PyTorch 檔案內嵌有反向殼層。該模型不僅能提供遠端存取權限，同時還能偽裝成有效的模型。

到了 2025 年 5 月，這項威脅已轉向傳統的供應鏈攻擊領域。攻擊者發布了名為 aliyun-ai-labs-snippets-sdk、ai-labs-snippets-sdk 及 aliyun-ai-labs-sdk 的 PyPI 套件，這些套件冒充阿里巴巴的 AI 工具包，並在使用過程中悄悄載入惡意模型。這些套件上線時間雖不到 24 小時，卻已被下載約 1,600 次；這再次提醒我們，當下載過程由自動化依賴項解析機制處理時，即使暴露時間極短，也已綽綽有餘。

到了 2024 年，攻擊者已將目標鎖定在專門用於偵測惡意模型的掃描器上。最明顯的例子便是「Stacked Pickle」技術，該技術透過嵌套多個 pickle 物件，將惡意指令分散至各層，再以壓縮與編碼方式加以封裝。

若單獨檢視每一層，看似都無害，因此僅停留在表面層次的掃描器與人工審查都無法發現任何異常。當模型載入時，各層會依序解壓縮，並重新組裝成有效載荷。採用此技術建構的概念驗證樣本，在 VirusTotal 的所有掃描引擎上均未被偵測到。

僅檢查可見層的掃描器可能會漏檢隱藏在檔案更深處的載荷。這就是該樣本之所以能通過所有掃描引擎的原因。

Safetensors 會將模型權重儲存起來，但不包含執行引擎。每個檔案包含一個簡潔的元資料標頭，用以描述每個張量的形狀、資料類型及位元組偏移量，其後則為原始張量的位元組資料。由於它沒有指令流、虛擬機器，也沒有類似 pickle 中 REDUCE 的功能，因此無法指示載入器呼叫任何函式。

Safetensors 檔案是載入器所讀取的靜態資料。即使是經過惡意製作的檔案，在載入時也無法執行程式碼，因為該格式並未提供供程式碼執行的途徑。

傳統格式的問題從來不在於權重本身，而在於檔案同時可能包含可執行指令。Hugging Face 與 EleutherAI 及 Stability AI 合作，開發了 Safetensors 作為專為此目的設計的替代方案，該格式在剔除此功能的同时，仍保留了團隊所需的所有權重檔案內容。

Safetensors 同時也具備實用性。它透過記憶體映射的零拷貝存取方式能快速載入，適用於 PyTorch、TensorFlow、JAX 及其他框架，並已成為多數新模型發布的預設選擇。這些優勢使其在未經強制要求的情況下便得以廣泛普及。

模型可透過網路下載、電子郵件、檔案傳輸平台及自動化處理流程傳入。檢查閘門必須涵蓋所有傳輸路徑，同時不應迫使組織重新設計承載流量的基礎架構。

針對網路通道，MetaDefender Aether 透過ICAP 進行整合，此為代理伺服器、電子郵件閘道及檔案傳輸平台現已採用、用於將檔案交由檢查服務處理的標準協定。若流量從未經過網路設備，則可透過 REST 介面API 進行相同的分析。

• 網頁下載。當開發者從 Hugging Face 或 Kaggle 擷取模型時，代理伺服器或安全網頁閘道會透過ICAP 將下載任務轉交給MetaDefender Aether，並在惡意 pickle 檔案抵達終端點之前便予以攔截。

• 電子郵件。作為附件分享的模型檔案和 AI 工具，會透過與其他附件相同的處理流程進行擷取與分析，從而封堵了繞過登錄檔層級控制措施的社會工程學攻擊途徑。

• 檔案傳輸。透過受管檔案傳輸與合作夥伴及供應商交換的檔案，或在內部區域之間傳輸的檔案，都會在傳輸過程中接受掃描，因此即使檔案從未接觸過公共樞紐，信任邊界依然有效。

• 自動化管道與套件庫。建立能透過程式化方式擷取模型，並將其提交至API 的建置工作與機器學習平台，在任何內容被推廣至內部套件庫之前完成此流程，藉此封堵阿里巴巴 PyPI 套件所利用的具體漏洞——該漏洞利用了依賴項解析機制自動下載模型，導致無人會注意到可疑檔案。

每條路徑皆採用相同的檢查流程與判定邏輯，確保不存在任何未受監控的通道供攻擊者利用。

安全團隊往往未能妥善管理模型風險，因為禁止從公開樞紐下載模型並不可行。MetaDefender Aether 讓開發人員得以維持現有工作流程，同時讓建置流程以模擬速度即時掃描模型。被封鎖的下載項目會附帶一份說明判定結果的證據報告。

了解MetaDefender Aether 如何在大型語言模型（LLM）檔案跨越您的信任邊界之前，對其進行檢查。