- Forscher haben zwei schwerwiegende Sicherheitslücken in der Hugging Face-Plattform entdeckt.
- Diese Schwachstellen ermöglichten es Hackern, bösartigen Code auszuführen.
- Hugging Face hat angekündigt, die Probleme behoben zu haben.
Hugging Face erhält eine große Anzahl von KI-Modellen zum Testen und Bewerten, die anfällig für Hacker sind. Die Anpassungsrate der künstlichen Intelligenz ist eine, die ihresgleichen sucht. Dieser Wahnsinn hat zur Entwicklung vieler nützlicher Tools beigetragen, aber gleichzeitig hat er Hackern einen schnelleren und einfacheren Weg geboten, ihre schädlichen Strategien umzusetzen. Was Hugging Face betrifft, so hatten Hacker einen Weg, Benutzerinformationen abzurufen, indem sie ihren eigenen Code ausführten.
Laut Forschern des Cloud-Sicherheitsunternehmens WIZ gab es zwei große Fehler in der Systemarchitektur, in der ML-Modelle (Machine Learning) ausgeführt wurden. Die Fehler, nämlich das Risiko der Übernahme der gemeinsamen Inferenzinfrastruktur und das Risiko der Übernahme der gemeinsamen kontinuierlichen Integration und kontinuierlichen Bereitstellung (CI/CD), ließen die Benutzer den schwarzen Mützen-Hackern schutzlos ausgeliefert. Einfacher ausgedrückt, boten diese Fehler Hackern einen geheimen Weg, ihren Code hochzuladen, was ihnen die Möglichkeit gab, die Register zu manipulieren.
Die Partnerschaft von Hugging Face und WIZ zur Erkundung der Mängel
Hackers könnten unbefugt auf die Daten anderer Benutzer zugreifen, indem sie ihre eigenen schädlichen KI-Modelle hochladen. Dies war ein großes Problem und könnte einen potenziellen Schaden für den Ruf von Hugging Face verursachen, da diese Plattformen als KI-as-a-Service-Plattform (AlaaS) umfassend zum Speichern und Verarbeiten von KI-Modellen genutzt werden. WIZ hat mit AaaS-Unternehmen zusammengearbeitet, um Sicherheitslücken in diesen Plattformen zu finden. Im Fall von Hugging Face brachte seine immense Popularität und Adoption es auf die Radarschirme von Hackern. WIZs Zusammenarbeit bot Hugging Face eine gute Gelegenheit, die Mängel in seinem System zu vermitteln und die Sicherheitsmaßnahmen der Plattform zu stärken.
Wie wir wissen, benötigen KI-Modelle eine höhere GPU-Leistung, um ihre Funktionen auszuführen, wofür Startups und andere kleinere Anbieter auf KI-Dienstleister-Unternehmen zurückgreifen. Die Schnittstellen-API von Hugging Face bietet ebenfalls genau diesen Service. Im Prozess führte WIZ Research sein eigenes bösartiges KI-Modell mit einigen unangenehmen Funktionen aus, die den Hugging Face-Service kompromittierten. Dies machte das System anfällig, und WIZ konnte auf andere Kundenmodelle zugreifen, die den Hugging Face-Service nutzten.
Lösungen und Abhilfemaßnahmen zum Schutz von Alaas-Plattformen
WIZ erklärte in seinem Blog, dass diese Mängel und Erkenntnisse nicht nur Hugging Face plagen, sondern breitere Auswirkungen auf die gesamte KI-as-a-Service-Branche haben. Alle Akteure in der Branche sind dem Risiko der Magnitude ausgesetzt, da Hacker sie als GitHub von KI-Modellen ansehen und versuchen, illegalen Zugriff zwischen Benutzern zu erlangen.
Hugging Face und Wiz schlugen gemeinsam einige Vorsichtsmaßnahmen vor, um Sicherheitsverletzungen zu verhindern; sie rieten zu strengen Sicherheitskontrollen und regelmäßiger Überwachung der Aktivitäten. Sie schlugen auch vor, sichere Register zu verwenden und eine sandkastengefilterte Umgebung zum Ausführen von Benutzeranwendungen bereitzustellen, indem die Orte, an denen sie ihren Code speichern, stärker eingezäunt werden, um den Zugriff zwischen Benutzern zu verhindern.
Die klügsten Krypto-Köpfe lesen bereits unseren Newsletter. Lust dabei? Mach mit.
Haftungsausschluss. Die bereitgestellten Informationen stellen keine Anlageberatung dar. Cryptopolitan.com Wir übernehmen keine Haftung für Investitionen, die auf den auf dieser Seite bereitgestellten Informationen basieren. Wir empfehlen dringend, vor jeglichen Anlageentscheidungen eine unabhängige Recherche durchzuführen und/oder einen qualifizierten Fachmann zu konsultieren.
Aamir Sheikh
Aamir ist Tech-Journalist mit fast sechs Jahren Erfahrung in der Krypto- und Technologiebranche. Er absolvierte sein Studium an der MAJ University mit einem MBA in Finanzen und Marketing. Heute arbeitet er für Cryptopolitan, wo er über die neuesten Entwicklungen in den Kryptowährungsmärkten und Preisprognosen berichtet.
