/ Модель
Каталог

Характеристики

Лицензия
Своя лицензия
Библиотека
keras
Опубликована
30 мая 2026

Ссылки

Hugging Face

keras-duplicate-weights-backdoor-poc

athifatharmn
Классификация изображенийИзображение → label3 профессии

Демонстрационная CNN на Keras показывает, как дублирующиеся записи весов в архиве .keras могут скрыть триггерный бэкдор.

165скачиваний за 30 дней0лайковвеса обновлены30 мая 2026

Бенчмарки

Как модель справилась с задачами пользователей ailist и что о ней публикуют открытые лидерборды

Публичные оценки

Из открытых лидербордов. Сравнивайте результаты одного теста при одинаковых условиях — отсутствие оценки не значит, что модель хуже.

В подключённых источниках результатов для этой модели пока нет.

Что умеет модель

Описание составлено по карточке модели и метаданным Hugging Face

Это proof-of-concept модель на Keras, демонстрирующая скрытый бэкдор через неоднозначность архива .keras с дублирующимися записями model.weights.h5. В CNN используются стандартные слои Conv2D, Flatten и Dense; триггером служит патч размером 2×2 в правом нижнем углу изображения. При загрузке Keras выбирает более позднюю запись с весами, содержащую бэкдор, хотя первая запись и метаданные могут выглядеть безвредно.

Модель предназначена для исследования безопасности файлов моделей и проверки средств обнаружения и загрузчиков Keras: README сообщает, что архив загружается без предупреждения, safe_mode=True его не отклоняет, а ModelScan не находит проблем. Повторное сохранение модели скрывает свидетельства дублирования, но бэкдор остаётся активным. Это демонстрационный образец для задач безопасности, а не обычная модель классификации изображений; лицензия указана как other.

Сценарии применения

  • проверка загрузчиков архивов Keras на обработку дублирующихся записей
  • исследование обхода сканеров безопасности моделей
  • анализ сохранения бэкдора после загрузки и повторного сохранения модели

Ограничения

Это proof-of-concept для изучения безопасности, а не предназначенная для обычного применения классификаторная модель; указанная лицензия «other» не раскрывает конкретных условий использования.

Для каких профессий подходит3

Разделы каталога профессий, в задачах которых используется эта модель

Все профессии
II.5Разработка и данныеБезопасность программного кода и цепочки поставокAI помогает выявлять уязвимости в коде и цепочке поставок программного обеспечения.20 задач1 806моделейII.11Разработка и данныеКибербезопасность и приватностьAI помогает обнаруживать киберугрозы, защищать данные и помогать реагировать на инциденты.25 задач4 232моделиII.4Разработка и данныеОтладка, тестирование и качество ПОAI помогает находить дефекты, строить проверки и повышать надёжность программного продукта.25 задач13 978моделей

Карточка модели

README от автора на Hugging Face, как он его опубликовал

Открыть на Hugging Face

Keras duplicate model.weights.h5 backdoor PoC

This repository contains a proof-of-concept for a Keras .keras archive ambiguity where duplicate model.weights.h5 entries are accepted. Keras resolves the required weights member to the later duplicate entry, enabling hidden trigger-based backdoor weights while config.json, metadata.json, and the first weights entry can remain benign.

This is not a Lambda layer deserialization issue. The CNN PoC uses standard Keras layers: Conv2D, Flatten, and Dense.

Main PoC

  • Model format: .keras
  • Architecture: Conv2D -> Flatten -> Dense
  • Trigger: bottom-right 2x2 image patch
  • Poisoned archive: duplicate model.weights.h5
  • First weights entry: benign / matches clean model
  • Later duplicate weights entry: contains trigger backdoor
  • Keras load result: loads without warning
  • safe_mode=True: does not reject
  • ModelScan: No issues found
  • Load/save laundering: duplicate-entry evidence disappears, but the backdoor remains active

Key files

  • cnn_image_backdoor_clean_baseline.keras
  • cnn_image_backdoor_duplicate_weights_trigger.keras
  • cnn_image_backdoor_pipeline_normalized.keras
  • evidence_bundle_keras_duplicate_weights_backdoor.zip

Suggested remediation

Keras should reject duplicate required archive members before reading or extracting model contents:

  • metadata.json
  • config.json
  • model.weights.h5
  • model.weights.npz

Как запустить

На своей GPU в ailist. Цена — по текущим предложениям провайдеров

GPU в ailist

Универсальный рантайм · keras

Нельзя запустить

Keras/TensorFlow-модели рантайм не загружает.

Ревизия весов
8746706

0 моделей

    Создать бенчмарк