LONDON (IT BOLTWISE) – In der Diffusers-Bibliothek von Hugging Face sind drei hochriskante Schwachstellen öffentlich geworden, die bei manipulierten Modell-Repositorys das Ausführen beliebigen Codes ermöglichen. Die Lücken umgehen dabei gezielt die Schutzlogik trust_remote_code, die Custom-Code in benutzerdefinierten Pipelines normalerweise blockieren soll. Betroffen sind vor allem Setups, die DiffusionPipeline.from_pretrained mit Custom-Pipeline-Komponenten aus Hub-Quellen laden. Das Problem wurde laut Angaben in Diffusers Version 0.38.0 behoben; bis dahin empfehlen die Maintainer konkrete Absicherungsmaßnahmen für Audits und lokale Prüfungen.
Drei Sicherheitslücken in der Python-Bibliothek Diffusers öffnen den KI-„Supply-Chain“-Angriffspfad über Modellrepositorys: Wenn in einem solchen Repository präparierte Pipeline-Konfigurationen und Codebestandteile zusammenwirken, kann das Laden eines Modells in from_pretrained() in einem unbemerkt vorgeschalteten Schritt zu einer Initial-Access-Quelle werden. Die Lücken wurden als FaceHugger zusammengefasst und zielen auf typische Produktionswege, in denen Bibliotheken wie Diffusers als Baustein in CI/CD-Pipelines, Container-Images oder Automatisierungs-Workflows eingebettet sind. Für Unternehmen ist das besonders relevant, weil die Diffusion-Modelle häufig als „passive“ Artefakte behandelt werden – obwohl Konfiguration, Loader und Custom-Pipeline-Logik technisch gesehen bereits Zugriff auf ausführbaren Python-Code erhalten können.
Konkret beschreibt die Analyse von Forschern der Firma Zafran Labs, dass die Schutzprüfung trust_remote_code nicht den gesamten Ladevorgang atomar absichert, sondern in einer frühen Phase verankert ist. Wird in der ersten Phase eine Prüfung erfolgreich bestanden, prüft der Loader spätere Zustände nicht mehr mit derselben Strenge nach. Dadurch entsteht ein klassischer Time-of-Check-to-Time-of-Use-(TOCTOU)-Effekt: Der Download-Prozess für die relevanten Artefakte erfolgt in zwei sequentiellen, nicht-atomaren HTTP-Anfragen, und genau dort liegt die Angriffsfläche. Die Forscher formulieren es so, dass jede Methode, die den Loader dazu bringt, „benutzerdefinierten“ Code zu sehen, den das Gate in der ersten Phase nicht im Blick hatte, die trust_remote_code-Sicherung umgehen kann.
Aus Angreifersicht entstehen drei Varianten, die unterschiedliche Zugriffspfade nutzen, aber im Ergebnis auf Remote Code Execution (RCE) in der custom_pipeline-Einbindung hinauslaufen. So nennt die Meldung CVE-2026-44827 (CVSS 8,8) als Code-Injection-Problem, bei dem ein präparierter Pipeline-Name wie „None.py“ das Laden so anstoßen kann, dass trotz trust_remote_code=False (oder dem Standardfall ohne explizite Angabe) Code in den Custom-Pipeline-Flow gelangt. CVE-2026-44513 (CVSS 8,8) wird als eine weitere Code-Injection-Schwachstelle beschrieben, die ebenfalls über den custom_pipeline-Pfad funktioniert, wenn unprüfbar „verifizierungsfreie“ Codepfade trotzdem zur Ausführung kommen. Die dritte Variante, CVE-2026-45804 (CVSS 7,5), adressiert eine Race-Condition: Durch das Ändern der Konfiguration zwischen Aufrufen wie hf_hub_download und snapshot_download kann der Angreifer den Inhalt so zwischen den Schritten austauschen, dass anschließend Code ausführbar wird.
Der praktische Markt- und Architekturbezug liegt vor allem in den Lade- und Orchestrierungsdetails. Diffusers ist als Python-Paket darauf ausgelegt, lokale Komponenten über die DiffusionPipeline-API aus einem Hugging-Face-Hub-Repository zu laden. Dabei kann eine Konfigurationsdatei bestimmen, welche Pipeline- und Komponentenklassen initialisiert werden, und zusätzlich kann benutzerdefinierte Pipeline-Logik eingebunden werden. Diese Kombination macht das „Modellladen“ zu mehr als nur Datenzugriff: Ein normaler „from_pretrained“-Aufruf wird je nach Parametrisierung zum Mechanismus, der auch Konfigurationen und Codepfade als Steuerinstanz übernimmt. Genau deshalb verweisen die Meldung und die begleitende Analyse auf die verbreitete Denkfigur „Artefakte sind nur Daten“ – sie ist in solchen Frameworks aber gefährlich, weil Loader und Konfigurationen die Grenze zwischen Daten und Ausführung verwischen.
Laut verantwortungsvoller Offenlegung wurde das Problem in Diffusers Version 0.38.0 behoben, die Anfang Mai 2026 veröffentlicht worden sein soll. Betroffen sind demnach Aufrufe von DiffusionPipeline.from_pretrained, wenn Custom-Pipelines verwendet werden. Für Teams, die nicht sofort patchen können, nennen die Projektmaintainer mehrere Workarounds mit Fokus auf Vertrauensketten: Erstens sollen from_pretrained-Aufrufe für Custom-Pipelines nur aus Quellen stammen, die vollständig als vertrauenswürdig eingestuft und auditiert wurden. Zweitens wird empfohlen, nicht mit custom_pipeline auf ein anderes Hub-Repository zu zeigen als auf den primären pretrained_model_name_or_path, bevor die passende pipeline.py gelesen wurde. Drittens raten die Hinweise bei lokalen Snapshots zu einer manuellen oder automatisierten Inspektion auf unerwartete *.py-Dateien, insbesondere in Komponentensubverzeichnissen wie unet oder scheduler, sowie im Snapshot-Root.
Für die Sicherheitsarchitektur von Unternehmen bedeutet die Meldung vor allem eine verschärfte Sicht auf „Modellquellen“: Nicht nur Code-Repositories, auch Modellrepositorys können die gleiche Angriffslogik tragen, wenn Loader-Mechanismen Konfiguration und Ausführungspfad verbinden. Das deckt sich mit einem generellen Trend in der KI-Entwicklung, bei dem KI-Services stärker „software-nah“ betrieben werden: Pipelines, Container und automatisierte Deployments sind zwar effizient, machen aber auch kleine Vertrauensfehler zu großen Ereignissen. Wenn trust_remote_code nicht ausreicht, um die Ausführung zuverlässig zu verhindern, dann sollten Security-Teams ihre Prüfpfade auf Artefakte, Konfigurationsinhalte und Dateistrukturen erweitern – und nicht darauf vertrauen, dass Framework-Parameter alleine die gesamte TOCTOU-Lücke geschlossen haben.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "FaceHugger: Sicherheitslücken in Hugging Face Diffusers umgehen trust_remote_code" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "FaceHugger: Sicherheitslücken in Hugging Face Diffusers umgehen trust_remote_code" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »FaceHugger: Sicherheitslücken in Hugging Face Diffusers umgehen trust_remote_code« bei Google Deutschland suchen, bei Bing oder Google News!