3分钟阅读 来源：webguzs via Getty Images Unsloth 已修复其 Web 用户界面 (UI) 前端中的一个漏洞，该漏洞使用户面临通过恶意模型进行任意代码执行的风险。Pillar Security 的 Ariel Fogel 今天发布了一篇博客文章，讨论了 Unsloth Studio 中的一个缺陷。Unsloth Studio 是 Unsloth 的 Web UI 前端，Unsloth 是一个流行的开源库，用于微调和量化大型语言模型 (LLMs)。根据博客文章，在 Unsloth Studio 中选择恶意模型可能会导致其执行包含在模型的 Hugging Face 存储库中的 Python 代码。“代码仅通过元数据检查就可以运行。读取模型的 config.json 就足以触发漏洞；后端从未加载权重或运行推理——检查模型的行为就足以运行其代码，”Fogel 写道。由于代码在用户权限下运行，Fogel 表示，利用这一缺陷针对企业 AI 开发环境的攻击可能会暴露专有训练数据、模型工件以及与被攻陷过程相关的一系列凭据，例如云登录或 SSH 密钥。相关：Chrome 商店托管的“Poper Blocker”间谍软件被数百万次下载。“攻击者可以以用户身份运行代码，这可能导致窃取可访问的数据、修改模型和训练输出，或使用可用凭据访问其他系统，”他写道。“内部实验环境可以保存敏感数据和特权访问，即使它不处理生产流量。”Fogel 告诉 Dark Reading，Pillar 迄今未发现针对这一特定配置机制的真实世界利用或恶意模型存储库的证据，尽管他强调其他恶意活动已依赖于上传到 Hugging Face 的恶意模型。
一个问题设置的中心
Pillar 将该缺陷追溯到 Unsloth Studio 在检查模型配置时使用的“trust_remote_code=True”设置。该设置允许底层的“Transformers”库下载并执行模型的 config.json 中引用的自定义 Python 代码，即使在模型本身被加载之前。Pillar Security 在 6 月初向 Unsloth 报告了该缺陷，Unsloth 在同月晚些时候的更新 2026.6.9 中解决了该问题。Pillar 测试了攻击向量并确认其已关闭。虽然 Fogel 对 Unsloth 的维护者快速响应表示赞赏，但博客文章声称 Unsloth 对安全评估的某些方面表示异议，“称 Hugging Face 的恶意软件扫描是对攻击面的一项足够控制，并且该 Studio 在技术上被列为测试版，应该被排除在考虑之外。”相关：‘Salesbleed’ 利用 Salesforce 代理启用 Slack 钓鱼。安全供应商不同意，认为 Unsloth 的声明未能解决 Studio 自动执行存储库代码的问题。根据 Pillar 的说法，在 Unsloth 拒绝发布提议的安全通告后，没有分配 CVE。Dark Reading 尝试通过 X 联系 Unsloth，但截至发稿时尚未收到回应。
将“trust_remote_code”视为不受信任的数据
Pillar 建议用户将 Unsloth Studio 升级到 2026.6.9 或更高版本，并更广泛地“将您使用 transformers 库加载的模型存储库的 trust_remote_code 视为不受信任的代码，而不是数据，并确保您管道中的工具从未代表您启用它。”正如博客作者指出的那样，该设置有其使用案例，但这并不是它首次成为此类漏洞的中心，今年甚至已经发生过类似情况（参见 LMDeploy 漏洞 CVE-2026-46432、vLLM 漏洞 CVE-2026-4944 和 InstructLab 漏洞 CVE-2026-6859）。Fogel 告诉 Dark Reading，这一问题的重复出现表明机器学习工具在处理可执行模型内容方面存在系统性缺口。开发人员围绕用户通常认为是数据的工件构建有用的工作流程，但这些工件也可以提供代码。当工具默默启用 trust_remote_code 时，Fogel 解释说，它代表用户做出了重要的安全决策。相关：提示注入漏洞影响价值 40 亿美元的 Agentic AI 应用程序“Manus”。“Unsloth 案例特别令人担忧的地方在于，”他说，“是在用户合理理解为检查的操作中越过了边界。”
关于作者
高级新闻撰稿人，Dark Reading
Alex 是一位获奖作家、记者和播客主持人，常驻波士顿。在青少年时期，他为独立游戏出版物撰写文章，积累了经验，2016 年毕业于埃默森学院，获得新闻学学士学位。他曾在 VentureFizz、Search Security、Nintendo World Report 等多家媒体上发表过文章。在 Dark Reading，他报道各种网络安全主题，包括网络犯罪生态系统、开源安全以及 AI 与威胁行为者之间的交集。在业余时间，Alex 主持每周的任天堂播客“Talk Nintendo Podcast”，并从事个人写作项目，包括两部之前自费出版的科幻小说。他获得了多项奖项，包括 2022 年 TechTarget 的年度作家奖，以及 2022 年至今获得的 10 多个 Azbee 奖项。