LONDON (IT BOLTWISE) – In der Python-Bibliothek Diffusers sind drei Schwachstellen offen gelegt worden, die bei speziell präparierten Modell-Repositories den Schutz trust_remote_code umgehen können. Beim Laden via DiffusionPipeline.from_pretrained können so angepasste Pipeline- und Komponentencodes auf den Zielsystemen ausführen, obwohl der Parameter auf False steht oder standardmäßig weggelassen wird. Die Meldung ordnet das Problem als RCE-Risiko für die KI-„Supply Chain“ ein und nennt die Familie der Lücken „FaceHugger“. Betroffen ist vor allem jede Umgebung, die Diffusers in Produktionspipelines, CI/CD oder Containerimages als Ladekomponente nutzt.
Mit der Bibliothek Diffusers hat sich in den vergangenen Jahren ein De-facto-Standard etabliert, um KI-Modelle für Bild-, Video- und Audio-Generierung schnell in bestehende Python-Stacks einzubinden. Genau diese Einfachheit wird jetzt zum Sicherheitsproblem: In Diffusers wurden drei hochkritische Schwachstellen offengelegt, die sich über präparierte Modell-Repositorys so ausnutzen lassen, dass auf dem System beim Laden beliebiger Code ausgeführt wird. Die Sicherheitslücke trägt den Familiennamen „FaceHugger“ und richtet sich gegen typische Workflows, in denen Diffusers-Konfigurationen und Custom-Pipelines aus externen Repositories dynamisch lädt. Für Unternehmen ist das besonders brisant, weil Modellladeprozesse häufig automatisiert laufen und damit nicht nur einmalig „lokal“ passieren, sondern in CI/CD, Containerimages und Deployments repliziert werden.
Technisch beschreibt die Analyse von Gal Zaban und Ido Shani (Zafran Labs) den Kernfehler als Vertrauensprüfung, die zu früh greift: Der Schutzmechanismus trust_remote_code soll verhindern, dass Code aus dem Modell-Repository unbesehen im Custom-Pipeline-Ladeprozess startet. In Diffusers wird diese Vertrauensentscheidung offenbar in einer ersten Phase getroffen, während der tatsächliche Ladepfad anschließend so weiterläuft, dass in späteren Schritten doch benutzerdefinierter Code „sichtbar“ werden kann. Damit entsteht ein klassisches Zeitfenster-Problem: Die Modelldownload-Logik arbeitet mit zwei aufeinanderfolgenden, nicht atomaren HTTP-Anfragen statt einer einzigen atomaren Operation, und die trust-Entscheidung wird nur gegen die erste Stufe angewendet. In der Folge lassen sich Varianten der Sicherheitslücke als TOCTOU-Fälle (Time-of-Check to Time-of-Use) einordnen: erst wird geprüft, dann wird genutzt – und zwischen Prüfung und Nutzung kann sich die Umgebung oder der geladene Artefaktinhalt verändern.
Die drei benannten CVEs zeigen dabei jeweils unterschiedliche Einfallstore, aber denselben Endpunkt. CVE-2026-44827 (CVSS 8,8) beschreibt eine Code-Injection, die über den custom_pipeline-Flow in eine benannte Pipeline-Variante mit dem Namen „None.py“ führt und dabei selbst bei trust_remote_code=False (beziehungsweise bei Weglassen des Parameters) Code nachlädt, der ausgeführt wird. CVE-2026-45804 (CVSS 7,5) adressiert eine Race-Condition: Durch Modifikation der Konfiguration zwischen hf_hub_download und snapshot_download kann ein Angreifer Code in das Repository bringen, sodass der Loader den manipulierten Stand später verarbeitet und es anschließend zur Codeausführung kommt. Ebenfalls als Code-Injection eingestuft ist CVE-2026-44513 (CVSS 8,8), das erneut den custom_pipeline-Pfad nutzt, um trotz korrekt gesetztem trust_remote_code und unter ähnlichen Ladebedingungen ausführbaren Code zu laden.
Dass solche Angriffe überhaupt möglich werden, liegt laut der Einordnung im Grundmuster moderner KI-Toolchains: Artefakte aus Modell-Repositories werden oft als „passive“ Daten behandelt, während der konkrete Ladepfad (Konfigurationsdateien, Loader und Custom-Pipeline-Code) in der Praxis genau diese Daten zu ausführbarem Programmverhalten werden lässt. Diffusers implementiert das über die DiffusionPipeline-API, die lokal Modelle aus Hugging-Face-Hub-Repositories anstößt und eine Konfigurationsdatei nutzt, um bestimmte Pipeline- und Komponent-Klassen zu initialisieren – inklusive benutzerdefiniertem Pipeline-Code. In Zahlen spiegelt sich die Breite der Nutzung: Über peppy.tech wird berichtet, dass Diffusers im Juli 2026 mehr als 8,1 Millionen Downloads verzeichnete. Wenn so eine Bibliothek in produktive Systeme einläuft, skaliert das Risiko: Der gleiche Mechanismus, der einen Modellwechsel bequem macht, kann bei kompromittierten oder präparierten Repositories auch zur Einfallsschleuse für unautorisierte Ausführung werden.
Für die Betreiber zählt nun vor allem das Patch-Fenster. Nach dem verantwortungsvollen Disclosure wurden die Lücken in Diffusers Version 0.38.0 geschlossen, veröffentlicht Anfang Mai 2026. Betroffen sind laut den Angaben alle Szenarien, in denen Nutzer DiffusionPipeline.from_pretrained aufrufen und dabei custom pipelines einsetzen. In der Sicherheitsstrategie wird der Parameter trust_remote_code zwar weiterhin als sinnvolle Leitplanke beschrieben, die Meldung zeigt aber, dass ein „False“ in diesem konkreten Implementierungsdetail kein vollständiger Schutz gegen die beschriebenen Ausprägungen ist. Daraus folgt für Security- und Plattformteams die Konsequenz, nicht nur Parameter zu prüfen, sondern auch die gesamte Lade- und Artefaktkette vom Hub bis zum Containerlayer zu betrachten.
Wenn ein Update auf 0.38.0 nicht sofort möglich ist, nennen die Maintainer konkrete Workarounds. Dazu gehört, aus_pretrained nur mit pretrained_model_name_or_path, custom_pipeline und lokalen Snapshot-Verzeichnissen zu verwenden, die aus vollständig vertrauenswürdigen und auditierbaren Quellen stammen. Zusätzlich wird empfohlen, custom_pipeline so zu verwenden, dass sie nicht auf ein anderes Hub-Repository zeigt als das primäre pretrained_model_name_or_path, bevor pipeline.py eingelesen wird. Für lokale Snapshots sollen Teams vor dem Laden den Inhalt systematisch prüfen und dabei insbesondere nach unerwarteten *.py-Dateien suchen – vor allem unter Komponent-Unterordnern wie unet/ und scheduler/ sowie im Root des Snapshots. Praktisch heißt das: Automatisierte Scans in der Pipeline werden wichtiger als ein einzelnes „vertrau nicht“-Flag, weil der Angriff über Dateistruktur und Ladezeitfenster operiert.
Über den konkreten Patch hinaus verdeutlicht die FaceHugger-Meldung einen größeren Trend: Die KI-„Supply Chain“ wird zunehmend zur Angriffsfläche, weil Modellrepositorien mit Codeanteilen nicht mehr nur Datenlieferanten sind, sondern während des Trainings- und Inferenzbetriebs aktiv in Ausführungslogik übergehen. Das Risiko trifft besonders Organisationen, die KI-Workloads stark in DevOps-Workflows integrieren und Containerimages reproduzierbar bauen, ohne jeden Modell- und Konfigurationsbestandteil einzeln zu verifizieren. Für Entwickler heißt das außerdem, dass „schnelles Laden“ zwar produktivitätssteigernd wirkt, aber Sicherheitsgrenzen nur dann tragen, wenn sie entlang des gesamten Pfads zwischen Prüfung und Nutzung konsistent implementiert sind. Welche Maßnahmen als Nächstes in vielen Teams auf die Agenda rücken, ist damit klar: Patch-Management für zentrale KI-Bibliotheken, harte Artefakt-Controls für Snapshots und ein Sicherheitsmodell, das Modell-Repositories als untrusted Code behandelt – gerade dann, wenn automatisierte Deployments die Angriffsfläche in der Fläche vergrößern.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Diffusers-Failures „FaceHugger“: RCE über KI-Model-Repo trotz trust_remote_code" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Diffusers-Failures „FaceHugger“: RCE über KI-Model-Repo trotz trust_remote_code" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Diffusers-Failures „FaceHugger“: RCE über KI-Model-Repo trotz trust_remote_code« bei Google Deutschland suchen, bei Bing oder Google News!