新たに公表されたHugging Face Transformersライブラリの脆弱性により、ユーザーがリモートコードを信頼して実行するかどうかを判断する前に、攻撃者が制御するPythonコードがローカルシステムに書き込まれる恐れがあることが分かりました。
CVE-2026-80047として追跡されているこの問題は、CERT Coordination CenterのVulnerability Note VU#456290に文書化されており、Hugging Face Transformersのバージョン4.49.0から5.8.1までに影響します。
この脆弱性は、モデルリポジトリからカスタム生成ロジックを読み込む際に使用されるGenerativePreTrainedModel.load_custom_generate()のワークフローに具体的に影響を及ぼします。
Hugging Face Transformersは、自然言語処理、コンピュータビジョン、音声、動画、マルチモーダルAIなど、機械学習ワークロードの構築・訓練・運用に広く使用されています。
リモートのモデルリポジトリからカスタムコードを読み込める機能は柔軟性をもたらす一方で、ユーザーがtrust_remote_codeという仕組みを通じて明示的にその挙動を承認する必要があります。しかし影響を受けるバージョンでは、この同意の境界線が適用されるタイミングが遅すぎるという問題があります。
CERT/CCによると、脆弱なコードパスは、trust_remote_codeプロンプトによる評価を行う前に、リモートのPythonモジュールを取得してローカルのHugging Faceモジュールキャッシュに書き込んでしまうとのことです。
モデルがカスタム生成の実装を使用している場合、Transformersはget_cached_module_file()関数を通じて、モデルリポジトリからcustom_generate/generate.pyを取得します。
このファイルはその後、通常~/.cache/huggingface/modulesに配置されているユーザーのローカルキャッシュにコピーされます。
このダウンロードと書き込みの処理が行われた後になって初めて、ライブラリはresolve_trust_remote_code()を呼び出し、ユーザーがリモートコードの実行を承認したかどうかを判定します。
つまり、信頼プロンプトを拒否したユーザーであっても、攻撃者が制御するPythonファイルがディスク上に永続的に残ってしまう可能性があるということです。CERT/CCは、この最初のファイル書き込みが無条件で行われる点を指摘し、ライブラリ内の他の動的モジュール読み込み経路が確立しているセキュリティ上の前提に反していると述べています。
AutoConfig、AutoModel、AutoTokenizer、AutoImageProcessorを含む他のTransformersコンポーネントは、リモートのPythonファイルをダウンロードまたはローカルに書き込む前にリモートコードの信頼性検証を実施しています。
しかし、カスタム生成の処理経路はこのパターンに従っていません。根本的な原因は、dynamic_module_utils.py内にある無条件のファイルコピー処理にあり、これは同意の判断が下される前に実行され、ユーザーがプロンプトを拒否した場合でも元に戻すことができません。
攻撃者は、悪意のあるcustom_generate/generate.pyファイルを含むモデルリポジトリを公開することで、この脆弱性を悪用できる可能性があります。影響を受ける機能を通じてそのモデルを参照して読み込んだユーザーは誰でも、権限昇格や実行の承認なしに、ローカルへのファイル書き込みを引き起こしてしまう恐れがあります。
この問題は特に、チームが多数の公開モデルリポジトリをテストしたり、共有キャッシュを保持したり、モデル読み込みジョブを自動化パイプラインで実行したりするAI開発環境において、重大な意味を持ちます。
CERT/CCによると、公表時点でベンダーからのパッチや勧告は提供されていませんでした。Hugging Faceは脆弱性ノート上で「不明」というベンダーステータスとして記載されています。
影響を受けるTransformersのリリースを使用している組織は、修正が提供されるまで、信頼できないモデルリポジトリに対してload_custom_generate()を呼び出すことを避けるべきです。
セキュリティチームは、~/.cache/huggingface/modules内に予期しないPythonファイルがないか調査し、信頼できない成果物が読み込まれた可能性のある共有Hugging Faceモジュールキャッシュを消去する必要があります。
開発者もまた、信頼性および権限の確認を、インポートや実行の前だけでなく、リモートコンテンツの取得やローカルへの永続化が行われる前に実施するようにすべきです。
セキュリティチームに、不審な活動をより迅速に調査し、事業への影響が拡大する前に脅威を封じ込めるための可視性とコンテキストを提供しましょう。ANY.RUNで調査を強化
翻訳元: https://cyberpress.org/hugging-face-transformers-flaw/
