Характеристики

Опубликована: 10 июл 2026

Ссылки

huntr-mfv-torch-package-scanner-evasion

Языковая модель

PoC показывает, как исходный код упакованного модуля в файле torch.package может выполниться при загрузке и остаться незамеченным сканерами modelscan и picklescan.

0скачиваний за 30 дней0лайковвеса обновлены10 июл 2026

Бенчмарки

Как модель справилась с задачами пользователей ailist и что о ней публикуют открытые лидерборды

Публичные оценки

Из открытых лидербордов. Сравнивайте результаты одного теста при одинаковых условиях — отсутствие оценки не значит, что модель хуже.

В подключённых источниках результатов для этой модели пока нет.

Что умеет модель

Описание составлено по карточке модели и метаданным Hugging Face

Это proof of concept по безопасности, подготовленный для исследования уязвимостей файлов моделей huntr MFV. Он демонстрирует обход проверок modelscan и picklescan: файл malicious_pkgmod.pt содержит исходный код упакованного модуля, который выполняется при загрузке через стандартный API PackageImporter.load_pickle() в PyTorch, хотя сканеры не обнаруживают проблем. Встроенный pickle содержит только ссылку на класс и стоп-код, а исполняемая логика находится в исходнике модуля.

Пример предназначен для воспроизведения ложноотрицательного результата сканирования файлов моделей и анализа поведения загрузчика torch.package. В README указаны PyTorch 2.13.0, modelscan 0.8.8, picklescan 1.0.4 и Python 3.10+. Репозиторий также содержит безопасный контрольный файл и вариант, который сканеры обнаруживают как критический. Указанный PoC записывает маркер в /tmp; лицензия в доступных данных не указана.

Сценарии применения

проверка сканеров файлов моделей на ложноотрицательные результаты
анализ выполнения кода при загрузке архивов torch.package
воспроизведение обхода modelscan и picklescan в исследовательской среде

Ограничения

Это узкоспециализированный PoC, а не универсальная модель или средство защиты; демонстрация рассчитана на PyTorch torch.package и описанные версии сканеров. Указанный полезный фрагмент ограничен записью маркера в /tmp.

Карточка модели

README от автора на Hugging Face, как он его опубликовал

Открыть на Hugging Face

Security PoC — torch.package model-scanner evasion (huntr MFV)

This is a security-research proof-of-concept for a huntr Model File Vulnerabilities (MFV) submission. It is not malware — the payload only writes a harmless marker to /tmp (echo/id). Do not modify to run real commands.

What it demonstrates

Loading malicious_pkgmod.pt with the default torch.package.PackageImporter(...).load_pickle() API executes code, while modelscan and picklescan scan the file and report no issues — a model-scanner false-negative. The malicious logic lives in packaged module source (benignmod.py), executed via find_class → import_module → compile(..., "exec"); the embedded pickle carries no dangerous opcodes (GLOBAL benignmod.Widget + STOP).

Environment

pip install torch==2.13.0 modelscan==0.8.8 picklescan==1.0.4   # Python 3.10+

Reproduce

# scanners report CLEAN even though they scan the embedded pickle
modelscan  -p malicious_pkgmod.pt      # -> "No issues found! 🎉"
picklescan -p malicious_pkgmod.pt      # -> "Infected files: 0, Dangerous globals: 0"

# default-API load executes code
rm -f /tmp/huntr_pkgmod_pwned
python load_pkgmod.py                   # -> marker: True  pwned-pkgmod-<user>
cat /tmp/huntr_pkgmod_pwned

Control: the naive __reduce__/posix.system variant of the same archive is flagged CRITICAL by both scanners — proving the evasion is specific to the module-source technique, not an unsupported-format skip.

Files: malicious_pkgmod.pt (PoC), build_malicious_pkgmod.py (craft), load_pkgmod.py (loader), ref_interned.pt (benign reference).

Как запустить

На своей GPU в ailist. Цена — по текущим предложениям провайдеров

GPU в ailist

Универсальный рантайм

Нельзя запустить

У модели не указана задача.

Ревизия весов: d39df91