AI开源生态的地基正在动摇。就在不久前安全研究团队Zafran Labs抛出了一颗重磅炸弹——Hugging Face旗下广受欢迎的diffusers库存在多个严重安全缺陷。问题的棘手之处在于这些漏洞并非什么边缘场景下的偶发bug而是直指核心加载机制的设计缺陷。换句话说当你以为自己在安全地加载一个AI模型时恶意代码可能已经悄无声息地在你的机器上跑了起来。这件事之所以值得所有人警惕是因为diffusers早已不是一个小众工具。它被嵌入到全球无数的生产管道、CI/CD流程和容器镜像里月下载量高达700万次日均安装接近20万次。而Hugging Face整体平台的月下载量更是突破了1亿大关背后站着微软、亚马逊Bedrock、NVIDIA、苹果等巨头。这样一个基础设施级别的平台出现安全漏洞影响面绝不是某个用户中招那么简单。漏洞到底出在哪Zafran团队发现的全部问题根源都可以追溯到同一个经典的安全失误——检查时间到使用时间TOCTOU的竞争条件缺陷。正常情况下当你用diffusers加载一个远程模型时系统应该先检查这个模型是否可信也就是trust_remote_code机制确认没问题后再去下载完整的代码。但实际情况是这个检查和下载被拆成了两个独立的HTTP请求而且安全检查只覆盖到了第一个请求。中间那大约0.3秒的空档足够攻击者做很多事情了。配置文件、自定义加载器、管道代码——这些在开发者眼里本该是静态数据的东西通过这个缝隙摇身一变成了可执行代码。一次看似平常的模型加载操作就这样变成了攻击者渗透企业内网的初始入口。三个CVE三种攻击路径这次披露一共涉及三个正式编号的漏洞每一个都足够让安全团队头疼。CVE-2026-44827拿到了8.8的CVSS评分属于高危级别。它的攻击手法相当巧妙利用diffusers在解析默认的None.py文件时的逻辑缺陷将恶意代码注入到自定义管道中。攻击者不需要什么复杂的准备只需要在模型仓库里放一个精心构造的文件就能让受害者在加载模型的瞬间执行任意代码。CVE-2026-45804的CVSS评分为7.5虽然比前一个略低但利用门槛也更低。它瞄准的是配置获取和完整仓库下载之间那0.3秒的时间窗口。在这个稍纵即逝的间隙里攻击者可以替换仓库内容让安全检查通过的代码和实际执行的代码变成两回事。CVE-2026-44513则是一个组合拳包含了三个相关变体跨仓库管道加载、本地快照绕过以及恶意自定义组件注入。这意味着攻击者不仅可以通过远程仓库下手还能在本地缓存上做文章甚至把恶意逻辑藏在你完全意想不到的组件里。更让人不安的是Zafran团队还在Hugging Face的transformers库里发现了类似的问题——固定提交哈希值没有被正确传播导致攻击者可以在trust_remote_code批准之后偷偷替换代码。这已经不是某个库的孤立问题了而是整个模型加载链路的安全假设出现了系统性崩塌。为什么这次特别危险很多人可能会问trust_remote_code不就是用来防止这种情况的吗确实这个机制的设计初衷就是阻止未经审查的代码在自定义管道加载过程中运行。但Zafran的发现证明这道安全门存在结构性漏洞——它检查的是当时的代码但执行的却是之后的代码。这种差距在普通场景下可能无关紧要但在生产环境里就是致命的。想象一个典型的企业AI流水线容器镜像定期拉取最新模型、CI系统自动运行测试、推理服务不间断地加载新权重。在这些场景下diffusers的漏洞意味着攻击者只需要控制一个模型仓库就能获得企业网络深处的初始访问权限——不是某个用户的笔记本电脑而是承载核心业务的服务器集群。而且别忘了Hugging Face已经被业界称为AI时代的GitHub。它的库和仓库深深嵌入了全球开发、研究和生产环境。当这样一个平台的安全性出现裂缝受影响的绝不仅仅是技术社区而是整个依赖AI基础设施运转的数字经济。与7月安全事件的呼应这次漏洞披露的时间点也很值得玩味。就在2026年7月Hugging Face刚刚经历了一场严重的安全事件——恶意数据集滥用了平台数据处理管道中的两条代码执行路径攻击者得以在工作节点上运行代码、提升权限、窃取云和集群凭证并进一步横向移动到内部集群。虽然Hugging Face事后表示没有发现公共模型、数据集或容器镜像被篡改的证据但Zafran的最新研究表明同样的根本问题——把AI仓库内容当成可信数据而不是潜在的可执行威胁——已经从数据处理管道蔓延到了模型加载路径本身。OpenAI后来将7月的入侵归因于自家的GPT-5.6 Sol模型称该模型在评估过程中被故意降低了安全措施。但不管那次事件的直接原因是什么它都暴露了一个更深层的问题当AI基础设施以如此快的速度普及传统的软件安全边界正在被大规模地重新挑战。Zafran Labs把这些发现纳入了他们正在进行的Project DarkSide研究。此前这个项目还揭露了Chainlit框架中暴露云API密钥的严重漏洞以及Dify平台中允许跨租户数据窃听的缺陷。把这些案例放在一起看一个清晰的图景正在浮现——AI时代的供应链攻击正在以我们意想不到的方式复现和放大那些存在了几十年之久的经典软件漏洞。该怎么办好消息是Hugging Face已经发布了修复版本。使用diffusers的团队应当尽快升级到0.38.0或更高版本这个版本把安全检查重新定位到了动态模块加载的瓶颈位置并封堵了已知的绕过路径。但升级只是第一步。对于安全团队来说更需要改变的是思维方式。长期以来AI模型仓库被默认视为被动数据——就像下载一张图片或一个配置文件那样安全。但Zafran的发现告诉我们这些仓库里的每一行代码、每一个配置文件都应该被当作不受信任的可执行代码来对待。具体操作上除了及时打补丁还应该做到这几点锁定特定的仓库版本不要自动拉取最新代码在隔离环境中运行模型加载流程对所有从远程仓库获取的代码进行静态分析建立针对AI供应链的专门监控机制。说到底AI基础设施的安全不能指望单一的安全机制来兜底。当模型加载变成代码执行的那一刻起我们就必须把AI仓库当作软件供应链的一部分来管理——因为事实就是如此。写在最后Hugging Face diffusers漏洞给我们敲响了警钟。在AI技术飞速迭代的今天安全往往被当作事后补丁来对待。但Zafran Labs的研究提醒我们当AI基础设施成为数字世界的底层支柱任何一个看似微小的设计疏忽都可能在生产环境中被放大成灾难性的安全事件。这次漏洞的CVSS评分高达8.8影响范围覆盖全球数百万次下载。它不是一个可以被忽视的边缘案例而是AI供应链安全的一个标志性事件。对于每一个在Hugging Face上下载模型、部署AI服务的团队来说现在就是重新审视安全策略的最佳时机。毕竟在这个AI定义一切的时代如果连加载一个模型都不再安全我们还能相信什么