المخاطر الأمنية لنموذج LLM الناجمة عن ملفات «بيكل» والحمولات المتراكبة

يتطلب بناء نموذج لغوي ضخم من الصفر بيانات وقدرات حاسوبية ووقتًا لا تمتلكها معظم المؤسسات. وبدلاً من ذلك، تقوم الفرق بتنزيل نماذج مدربة مسبقًا من منصات عامة مثل Hugging Face وKaggle وPyPI. وقد أدى هذا الاعتماد إلى ظهور ثغرة أمنية في سلسلة التوريد لا تزال العديد من برامج الأمان تتجاهلها.

تقوم المؤسسات بالفعل بفحص المكتبات مفتوحة المصدر وصور الحاويات التي تستوردها إلى بيئاتها. لكن قلة منها فقط هي التي تطبق نفس مستوى التدقيق على نماذج الذكاء الاصطناعي التي تقوم فرقها بتنزيلها، على الرغم من أن ملف النموذج ليس مجرد جدول بيانات يحتوي على أرقام. فحسب تنسيقه، يمكن أن يكون ملف النموذج برنامجًا يعمل فور تحميله.

يستضيف موقع «Hugging Face» وحده ما يزيد بكثير عن مليون نموذج، لم يخضع معظمها أبدًا لمراجعة تتعلق بالسلامة. ووفقًا لت قرير «Software » الصادر عن شركة «JFrog» بعنوان «Supply Chain : State of the Union 2026»، فإن 53% من المؤسسات تستمد النماذج حاليًا مباشرةً من السجلات العامة، وقد حدد الباحثون ما يقارب 495 نموذجًا ضارًا في تلك السجلات قادرة على سرقة بيانات الاعتماد، وتنفيذ الأكواد البرمجية، والسيطرة الكاملة على النظام. ويُعد نموذج «LLM» برنامجًا قابلاً للتنفيذ يتجاوز حدود الثقة.

يُعد «بيكل» (Pickle) تنسيق التسلسل الأصلي في لغة بايثون، وكان الطريقة القياسية لحفظ النماذج على القرص لسنوات عديدة. وقد استندت PyTorch في إنشاء ملفاتها ذات الامتدادات .pt و.pth و.bin إلى هذا التنسيق، ونُشرت العديد من النماذج بهذه التنسيقات. وتوجد اليوم خيارات أكثر أمانًا، تم استبعادها باعتبارها لغة تجارية مجردة. ولا تزال حصة كبيرة من النماذج المتداولة حاليًّا على المنصات العامة تعتمد على تنسيق «بيكل»، وتقوم الفرق بتحميلها يوميًا.

لا يخزن «بيكل» البيانات فحسب، بل هو تيار تعليمات تنفذه الآلة الافتراضية أثناء تحميل الملف وإعادة بناء كائنات بايثون. ويمكن لهذا التيار استدعاء دالات عشوائية، لذا فإن تحميل نموذج قائم على «بيكل» قد يؤدي أيضًا إلى تشغيل التعليمات البرمجية.

يستغل المهاجمون تعليمة «REDUCE» الخاصة بـ«pickle»، والتي توجه المُحمِّل إلى استدعاء دالة محددة بوسائط يختارها المهاجم أثناء عملية «unpickling». ويمكن أن يؤدي ذلك إلى تشغيل شل عكسي، أو زرع حمولة من المرحلة الثانية، أو الكتابة فوق مفتاح SSH، في حين يظل النموذج يُحمَّل ويتصرف كملف شرعي.

تنطوي كل من TensorFlow وKeras على مخاطر متشابهة. فمخططات TensorFlow الخبيثة يمكنها تهريب مشغلات كتابة الملفات أو مشغلات الشبكة إلى مخطط الحساب، في حين أن طبقات Lambda في Keras يمكنها حمل بايت كود لغة Python مُرتب يتم فك تسلسله عند التحميل. ويسمح كل من هذين التنسيقين للملف بحمل سلوك قابل للتنفيذ. وهذه المخاطر هي مخاطر هيكلية، لذا فإن إصلاح خطأ برمجي واحد لا يكفي لإزالتها. وقد أجبر هذا القيد القطاع على البحث عن تنسيق أكثر أمانًا.

ظهرت التحذيرات بشأن هجمات إعادة استخدام النماذج لأول مرة في عام 2018. وأثبت الباحثون لاحقًا أن هذا الخطر يمكن أن يتحقق فعليًّا. وفي يناير 2024، ظهر نموذج يُدعى star23/baller13 على منصة Hugging Face، وكان يحتوي على «ريفرس شيل» داخل ملف PyTorch. وكان هذا النموذج قادرًا على توفير وصول عن بُعد، مع استمرار ظهوره كنموذج صالح.

بحلول مايو 2025، انتقل التهديد إلى المجال التقليدي لسلسلة التوريد. فقد نشر المهاجمون حزمًا على PyPI تحمل أسماء «aliyun-ai-labs-snippets-sdk» و«ai-labs-snippets-sdk» و«aliyun-ai-labs-sdk»، والتي انتحلت صفة مجموعة أدوات الذكاء الاصطناعي الخاصة بشركة «أليبابا»، وقامت بتحميل نموذج ضار خلسةً أثناء الاستخدام. ظلت الحزم متاحة لأقل من 24 ساعة، ومع ذلك تم تنزيلها حوالي 1,600 مرة؛ وهو ما يذكرنا بأن فترة التعرض القصيرة تكفي تمامًا عندما يتولى التنزيل نظام حل التبعيات الآلي.

بحلول عام 2024، أصبح المهاجمون يستهدفون أدوات الفحص المصممة للكشف عن النماذج الخبيثة. وأبرز مثال على ذلك هو تقنية «Stacked Pickle»، التي تقوم بتداخل عدة كائنات «pickle» ونشر التعليمات الخبيثة عبر الطبقات، ثم تغليفها بعمليات الضغط والترميز.

تبدو كل طبقة غير ضارة عند فحصها بمفردها، لذا فإن برامج الفحص والمراجعات اليدوية التي تقتصر على السطح لا تكتشف شيئًا. وعندما يتم تحميل النموذج، يتم فك الطبقات بالتسلسل وإعادة تجميع الحمولة. وقد سجلت عينة «إثبات المفهوم» التي تم إنشاؤها باستخدام هذه التقنية صفر اكتشافات عبر جميع محركات الفحص على موقع VirusTotal.

قد يفوت الماسح الضوئي الذي يفحص الطبقة المرئية فقط أي حمولة مخفية في أعماق الملف. وهكذا تمكنت العينة من اجتياز جميع المحركات.

يقوم «Safetensors» بتخزين أوزان النماذج دون محرك تنفيذ. يحتوي الملف على رأس بيانات وصفية مضغوط يصف شكل كل توتر ونوع بياناته وإزاحة البايتات، تليه بايتات التوتر الخام. ولا يحتوي على تيار تعليمات أو آلة افتراضية أو ما يعادل دالة «REDUCE» في «pickle»، لذا لا يمكن توجيه المحمل لاستدعاء دالة ما.

ملف «Safetensors» هو عبارة عن بيانات خاملة يقرأها برنامج التحميل. وحتى الملف الذي تم إنشاؤه بهدف خبيث لا يمكنه تنفيذ أي تعليمات برمجية عند التحميل، لأن التنسيق لا يوفر أي مسار لتشغيل تلك التعليمات.

لم تكن المشكلة في التنسيقات القديمة تكمن أبدًا في الأوزان نفسها، بل في أن الملف كان يمكن أن يحتوي أيضًا على تعليمات قابلة للتنفيذ. وقد قامت شركة Hugging Face، بالتعاون مع EleutherAI وStability AI، بتطوير «Safetensors» كبديل مصمم خصيصًا لهذا الغرض، حيث يزيل هذه الإمكانية مع الحفاظ على ما تحتاجه الفرق من ملف الأوزان.

كما أن Safetensors عملي أيضًا. فهو يتم تحميله بسرعة من خلال الوصول المُخطَّط في الذاكرة دون نسخ، ويعمل عبر PyTorch وTensorFlow وJAX وغيرها من الأطر البرمجية، وقد أصبح الخيار الافتراضي لمعظم الإصدارات الجديدة من النماذج. وقد ساعدت هذه المزايا على انتشاره دون الحاجة إلى فرض استخدامه.

تصل النماذج عبر التنزيلات من الإنترنت، والبريد الإلكتروني، ومنصات نقل الملفات، وقنوات النقل الآلية. ويجب أن تغطي بوابة الفحص كل مسار دون إجبار المؤسسات على إعادة تصميم البنية التحتية التي تنقل حركة المرور.

بالنسبة لقنوات الشبكة، MetaDefender يتكامل Aether من خلال ICAP ، وهو البروتوكول القياسي الذي تستخدمه بالفعل الخوادم الوكيلة وبوابات البريد الإلكتروني ومنصات نقل الملفات لتسليم الملفات إلى خدمة الفحص. وفي الحالات التي لا يمر فيها حركة المرور عبر أي جهاز شبكي، يمكن إجراء التحليل نفسه عبر واجهة REST API بدلاً من ذلك.

• التنزيلات عبر الويب. عندما يقوم مطور ما بسحب نموذج من Hugging Face أو Kaggle، يقوم الوكيل أو بوابة الويب الآمنة بتوجيه عملية التنزيل إلى MetaDefender Aether عبر ICAP ، ويتم إيقاف ملف pickle ضار قبل أن يصل إلى نقطة النهاية.

• البريد الإلكتروني. يتم استخراج ملفات النماذج وأدوات الذكاء الاصطناعي التي يتم مشاركتها كمرفقات وتحليلها عبر نفس مسار المعالجة الذي يتم اتباعه مع أي مرفق آخر، مما يقطع الطريق أمام الهجمات الهندسية الاجتماعية التي تتجاوز الضوابط على مستوى السجل.

• نقل الملفات. يتم فحص الملفات التي يتم تبادلها مع الشركاء والموردين، أو التي يتم نقلها بين المناطق الداخلية عبر نظام نقل الملفات المُدار، أثناء نقلها؛ وبالتالي، تظل حدود الثقة سارية حتى بالنسبة للملفات التي لا تمر أبدًا عبر مركز توزيع عام.

• خطوط الأنابيب والسجلات الآلية. قم بإنشاء مهام ومنصات التعلم الآلي التي تسترد النماذج برمجياً وترسلها عبر API قبل أن يتم نقل أي شيء إلى سجل داخلي، مما يسد الثغرة التي استغلتها حزم Alibaba PyPI بالضبط، حيث يتولى حل التبعيات عملية التنزيل ولا يرى أحد أبداً ملفاً يثير الشكوك.

يستخدم كل مسار نفس مسار الفحص ومنطق اتخاذ القرار، مما لا يترك أي قناة غير خاضعة للمراقبة يمكن للمهاجم استغلالها.

غالبًا ما تترك فرق الأمن مخاطر النماذج دون معالجة، لأن حظر التنزيلات من المحطات العامة أمر غير عملي. MetaDefender يتيح Aether للمطورين الحفاظ على سير عملهم الحالي، بينما يقوم مسار العمل بفحص النماذج في الترتيب حسب دورها بسرعة المحاكاة. وتشمل التنزيلات المحظورة تقريرًا تبريريًا يشرح سبب القرار.

تعرف على كيفية قيام خدمة «Aether» من شركة « MetaDefender » بفحص ملفات نماذج النماذج اللغوية الكبيرة (LLM) قبل أن تتجاوز حدود الثقة الخاصة بك.