Unsloth: загрузка модели позволяет выполнить код с правами процесса

Злоумышленник выполнил код с правами процесса при загрузке модели

Pillar Security обнаружила уязвимость произвольного выполнения кода в Unsloth. Атакующий мог контролировать конфигурацию модели и заставить Python-код выполниться во время её загрузки. Уязвимость получила идентификатор CVE-2026-93348 и оценку High по шкале CVSS v4.0 (8.6).

Unsloth загружает модели и оптимизирует их архитектуру

Unsloth — это библиотека для ускорения обучения и инференса моделей машинного обучения. Она используется в AI-разработке, в том числе в среде Databricks AI v5. Hugging Face отмечает Unsloth как третий по величине источник производных моделей после Qwen и Google. Библиотека анализирует конфигурацию модели, чтобы найти соответствующую реализацию для оптимизации. Для этого она динамически конструирует Python-инструкцию импорта, используя значение поля model_type из конфигурации. Затем эта инструкция выполняется с помощью функции exec(). Это позволяло внедрять произвольный Python-код.

Уязвимость затрагивает версии unsloth-zoo до 2026.8.14

Уязвимость CVE-2026-93348 впервые устранили в пакете unsloth_zoo версии 2026.8.14. Первая версия Unsloth, которая исключила уязвимые версии Zoo из зависимостей, — это unsloth 2026.8.20. Уязвимый код мог выполняться с правами процесса загрузки. Это могло привести к компрометации конфиденциальных данных, таких как датасеты, токены Hugging Face или облачные учетные данные. Успешная эксплуатация требовала, чтобы процесс загрузки обрабатывал вредоносную конфигурацию модели.

Проверяйте установленные пакеты и обновляйте артефакты

Платформенным командам и специалистам по безопасности следует проверить установленные пакеты в средах выполнения: ядрах ноутбуков, рабочих процессах обучения и контейнерах. Необходимо обновить артефакты, сохраняющие зависимости: обновить lock-файлы, пересобрать образы и перезапустить процессы, использующие старые пакеты. Также следует проверить управляемые среды выполнения, подтвердив установленные версии или получив инвентарный список от поставщика. Рекомендуется ограничить доступ к учетным данным, смонтированным данным и сетевым разрешениям для каждой рабочей нагрузки необходимым минимумом.