Unsloth Studio، پلتفرم دسکتاپ مدیریت مدل، یک فرآیند چهار مرحله‌ای بررسی امنیتی برای محیط‌های اجرای مدل محلی معرفی کرد. این اقدام پس از آن صورت گرفت که یک مخزن روی Hugging Face با جعل هویت انتشار Privacy Filter از OpenAI، یک infostealer را در فایل loader.py پنهان کرده بود. آن مخزن به رتبه اول trending رسید و حدود ۲۴۴,۰۰۰ دانلود ثبت کرد؛ اعدادی که HiddenLayer آن‌ها را «تقریباً قطعاً تورم‌یافته» توصیف کرده است.

چهار لایه بررسی#

وقتی یک workflow از مرحله دانلود به مرحله اجرا می‌رسد، چهار بررسی به‌صورت متوالی فعال می‌شود:

  1. اثرانگشت کد: کد پایتون اسکن‌شده اثرانگشت‌گذاری می‌شود و در هر بار بارگذاری، اثرانگشت و نسخه اسکنر دوباره بررسی می‌شوند. تغییر کد، تأیید قبلی را بی‌اعتبار می‌کند و نیاز به رضایت جدید دارد. مخازن deepseek-ai/deepseek-ocr و moonshotai/Kimi-VL-A3B-Instruct در حال حاضر با این دروازه مواجه می‌شوند.
  2. دروازه فایل وزن: فایل‌های سریال‌شده (از جمله pickle‌های مخرب) جدا از کد پایتون بررسی می‌شوند. Studio نتایج اسکن Hugging Face را می‌خواند و فایل‌های flag‌شده را در مسیر deserialization مسدود می‌کند. با حداقل PyTorch 2.6، فایل‌های .bin با weights_only=True بارگذاری می‌شوند.
  3. سندباکس سیستم‌عامل: بررسی‌های OS-level که در این متن جزئیات فنی آن ذکر نشده.
  4. اسکن محتوای پکیج: آرشیوهای وابستگی بدون اجرای lifecycle scripts بررسی می‌شوند. این لایه مستقیماً به حادثه LiteLLM در مارس ۲۰۲۶ اشاره دارد، جایی که بسته‌ای با نام آشنا قبل از انتشار advisory، نسخه مخرب ارائه داد.

نکته مهم: پس از تأیید، کد مدل از راه دور بدون سندباکس به‌عنوان کاربر Studio اجرا می‌شود. خودِ Unsloth در مستنداتش می‌نویسد که الگوهای استاتیک قابل دور زدن هستند.

این خبر برای کسی که ایجنت می‌سازد چه معنایی دارد#

مهم‌ترین عنصر عملی این خبر، «اثرانگشت کد» است. مشکل واقعی آن است که یک تأیید اولیه، بعد از تغییر مخزن، هنوز معتبر تلقی می‌شود. Unsloth این شکاف را بسته است. اما برای کسی که با ابزارهای CLI یا API مدل‌ها را اجرا می‌کند، این خبر عملاً چیزی عوض نمی‌کند؛ چون این لایه‌ها درون یک اپ دسکتاپ خاص پیاده‌سازی شده‌اند. همچنین باید توجه داشت که خودِ Unsloth می‌گوید اسکن استاتیک قابل دور زدن است و دروازه فایل وزن fail-closed نیست — یعنی اگر متادیتای اسکن در دسترس نباشد، بارگذاری ادامه پیدا می‌کند. این یک لایه دفاعی مفید است، نه یک تضمین.

منبع: MarkTechPost