Fehler in Hugging Face Transformers kann schädliche Skripte auf Nutzersystemen ablegen

Ein Fehler in Hugging Face Transformers kann von Angreifern kontrollierte Python-Dateien auf den Computer eines Nutzers schreiben, bevor die Bibliothek um Erlaubnis bittet, Remote-Code zu vertrauen. Die Schwachstelle betrifft eine weit verbreitete Bibliothek für die KI-Entwicklung und kann schädliche Skripte im lokalen Cache hinterlassen, nachdem ein Nutzer die Anfrage abgelehnt hat.

Das als CVE-2026-80047 verfolgte Problem betrifft die Transformers-Versionen 4.49.0 bis einschließlich 5.8.1. Laut CERT/CC waren zum Zeitpunkt der Veröffentlichung weder ein Patch noch ein Sicherheitshinweis des Anbieters verfügbar.

Schwachstelle schreibt Dateien vor Zustimmung des Nutzers

Hugging Face Transformers unterstützt KI-Modelle, die Text, Bilder, Audio, Video und andere Daten verarbeiten. Die meisten Modell-Repositories enthalten Gewichte und Konfigurationsdateien, einige umfassen jedoch auch Python-Code für benutzerdefinierte Funktionen.

Die Bibliothek fordert Nutzer normalerweise dazu auf, Remote-Code zu genehmigen, bevor sie diesen Code herunterlädt und ausführt. Der Fehler in Hugging Face Transformers betrifft jedoch einen Ablauf, der diese Schutzmaßnahmen nicht einhält.

Beim Laden eines schädlichen Repositorys kann die Bibliothek die Datei custom_generate/generate.py abrufen und auf die lokale Festplatte schreiben, bevor die Zustimmungsabfrage trust_remote_code angezeigt wird.

Der Schreibvorgang erfolgt automatisch und kann nicht rückgängig gemacht werden. Die Datei verbleibt auf dem System, selbst wenn der Nutzer die Berechtigung verweigert.

Zwischengespeicherte Skripte könnten später versehentlich ausgeführt werden

Transformers speichert heruntergeladene Module im Verzeichnis ~/.cache/huggingface/modules. Die Bibliothek führt ein schädliches Skript ohne Genehmigung nicht sofort aus, wodurch die unmittelbaren Auswirkungen begrenzt werden.

CERT/CC warnt jedoch davor, dass zwischengespeicherte Dateien später ein separates Risiko darstellen können. Werden Cache-Pfade erneut verwendet, könnte beim Laden eines vertrauenswürdigen Modells unbeabsichtigt eine Python-Datei verwendet werden, die ein Angreifer zuvor dort abgelegt hat.

Diese Art von Kollision mit veralteten Cache-Dateien könnte zur Ausführung von Schadcode führen, obwohl der Nutzer die ursprüngliche Remote-Code-Anfrage abgelehnt hat.

Angreifer können das Problem ausnutzen, indem sie ein scheinbar legitimes Modell-Repository veröffentlichen. Jedes Mal, wenn jemand das Repository lädt, kann die anfällige Funktion die vom Angreifer kontrollierte Datei in den lokalen Cache schreiben.

Kein Patch für CVE-2026-80047 verfügbar

Die Schwachstelle betrifft die Versionen 4.49.0 bis einschließlich der zuletzt gemeldeten Version 5.8.1. Laut CERT/CC sollten Nutzer bei Modell-Repositories aus nicht vertrauenswürdigen Quellen besonders vorsichtig sein, bis eine Fehlerbehebung verfügbar ist.

Entwickler sollten es vermeiden, Modelle aus unbekannten oder nicht verifizierten Quellen zu laden. Außerdem sollten sie ihren lokalen Hugging-Face-Modul-Cache auf unerwartete Dateien überprüfen und ihn, soweit praktikabel, regelmäßig leeren.

Teams, die Entwicklungssysteme, Caches oder Deployment-Umgebungen gemeinsam nutzen, sollten besonders vorsichtig sein. Wiederverwendete Cache-Pfade können die Wahrscheinlichkeit erhöhen, dass eine schädliche Datei, die beim Laden eines Modells geschrieben wurde, später einen anderen Arbeitsablauf beeinträchtigt.

Der Fehler in Hugging Face Transformers zeigt, warum Zustimmungsabfragen erfolgen müssen, bevor eine Bibliothek nicht vertrauenswürdigen Code herunterlädt oder speichert. Eine Abfrage kann Nutzer nicht vollständig schützen, wenn sich die Datei bereits auf ihrem System befindet.