Kritische Sicherheitslücke in Hugging Face Transformers ermöglicht Remote-Code-Execution-Angriffe

Angreifer können dieses Feld in die `config.json` eines Modells einfügen. Dadurch wird die Bibliothek während des standardmäßigen Ladevorgangs dazu veranlasst, beliebigen Python-Code herunterzuladen und auszuführen. Dieser Angriff ist auch dann möglich, wenn die Sicherheitssteuerung `trust_remote_code=False` aktiviert ist.

Der Schutzmechanismus wird in diesem Fall umgangen. Das Problem betrifft Transformers-Versionen von 4.56.0 bis 5.2.x, sofern diese mit dem optionalen Kernels-Paket verwendet werden. Der anfällige Code-Pfad wurde im August 2025 eingeführt und blieb bis März 2026 ausnutzbar.

Dies schuf eine Angriffsfläche diesem Zeitraum konnte jeder Nutzer, der ein bösartiges Modell vom HuggingFace Hub mit der gängigen Funktion `from_pretrained()` lädt, unbemerkt kompromittiert werden. In einem typischen Angriffsszenario lädt ein Angreifer ein scheinbar legitimes Modell auf den HuggingFace Hub hoch.

Technischer Hintergrund

Das Modell enthält eine speziell erstellte `config.json`-Datei, die das bösartige Feld `_attn_implementation_internal` beinhaltet, welches auf ein verweist. Wenn ein Opfer das Modell lädt, lädt die Transformers-Bibliothek den referenzierten Code automatisch herunter und importiert ihn, ohne Validierung oder Sandboxing.

Dies führt zur sofortigen Codeausführung auf dem System des Opfers. Eine erfolgreiche Ausnutzung ermöglicht es Angreifern, auf sensible Daten zuzugreifen, darunter AWS-Zugangsdaten, SSH-Schlüssel, API-Token und Umgebungsvariablen.

Es ist zudem möglich, Persistenzmechanismen einzurichten, laterale Bewegungen innerhalb der Infrastruktur vorzunehmen und CI/CD-Pipelines zu kompromittieren. Da der Angriff während des normalen Modellladens ausgeführt wird, erzeugt er keine Warnungen oder sichtbaren Indikatoren, was die Erkennung extrem erschwert. Das Ausmaß der Auswirkungen ist erheblich.

Sicherheitslage und Risiko

Die Transformers-Bibliothek verfügt über mehr als 2,2 Milliarden Installationen und verarbeitet etwa 146 Millionen Downloads pro Monat. Mit über einer Million auf dem HuggingFace Hub gehosteten Modellen ist die Angriffsfläche sehr groß.

Während des Expositionsfensters waren schätzungsweise 232 Millionen Installationen verwundbar, was die Wahrscheinlichkeit einer Ausnutzung in der realen Welt erhöht.

Forscher, dass diese Schwachstelle ein breiteres Problem in Machine-Learning-Ökosystemen aufzeigt: die Behandlung vertrauenswürdige Eingaben. hnliche Muster wurden in anderen Frameworks beobachtet, bei denen sichere" Modi die Codeausfhrung nicht verhindern, da interne Pfade nicht vollstndig bercksichtigt werden.

Technik und Auswirkungen

Hugging Face hat das Problem in Version 5.3.0 behoben, indem unsichere interne Attribute während des Konfigurationsparsing blockiert und strengere Kontrollen beim Laden Reparatur stellt auch sicher, dass die Ausführung ückliche Zustimmung des Benutzers über `trust_remote_code=True` erfordert.

Organisationen, die Transformers einsetzen, werden dringend aufgefordert, unverzüglich auf Version 5.3.0 oder eine neuere Version zu aktualisieren. Darüber hinaus sollten Teams zuvor heruntergeladene Modelle überprüfen, nach verdächtigen ausgehenden Verbindungen Ausschau halten und die Ausführungsumgebungen für Modelle isolieren, um das Risiko zu verringern.

CVE-2026-4372 unterstreicht die wachsende Bedeutung der Absicherung öpfungsketten.

Sicherheitslage und Risiko

Da die Einführung, richten Angreifer vermehrt Angriffe auf Plattformen zur Modellverteilung, wodurch vertrauenswürdige Arbeitsabläufe zu hochwirksamen Angriffsvektoren werden. ### SvyTech-Einordnung Die Schwachstelle zeigt, dass selbst etablierte Sicherheitsmechanismen wie `trust_remote_code=False` durch spezifische Implementierungsfehler umgangen werden können.

Die Kombination aus hoher Installationsbasis und der Möglichkeit, Code während des standardmäßigen Ladevorgangs auszuführen, macht dies zu einem der kritischsten Vorfälle in der KI-Sicherheit der letzten Zeit. ### Was Leser daraus mitnehmen Entwickler und DevOps-Teams müssen sofort auf die gepatchte Version 5.3.0 upgraden.

Zudem ist eine Überprüfung aller lokal gespeicherten Modelle auf verdächtige Konfigurationen sowie die Isolierung ührungsumgebungen dringend empfohlen, um eine Kompromittierung zu verhindern.