Vancir

ModelScope uses PyYAML's unsafe `yaml.Loader` to parse model configuration files. This allows arbitrary code execution through Python object construction tags, enabling attackers to craft malicious model repositories with poisoned configuration files that execute code when loaded by users.

يتيح تجاوز بوابة الأمان `trust remote code` في الدالة `DiffusionPipeline.from pretrained()` تنفيذ تعليمات برمجية عن بُعد تعسفية، حتى عندما تكون قيمة `trust remote code` مضبوطة على `False` أو تُترك على القيمة الافتراضية. يحدث هذا لأن الفحص الأمني تم تنفيذه داخل الدالة `DiffusionPipeline.download()` بدلاً من موقع تحميل الوحدة النمطية الديناميكية، مما يسمح لأي مسار برمجي يتجاوز `download()` بتنفيذ تعليمات برمجية غير موثوق بها. ويتجلى ذلك في ثلاثة سيناريوهات: عند تحميل `custom pipeline` من مستودع مختلف عن مستودع النموذج الأساسي، أو عند استخدام لقطة محلية مع `custom pipeline` قائم على Hub، أو عندما تحتوي اللقطة المحلية على ملفات مكونات مخصصة مشار إليها في `model index.json`.