I modelli Hugging Face diventano codice durante il load
Il punto debole non è il repository in sé, ma il salto di fiducia che avviene quando un artefatto pensato come dato passa a comportarsi come codice. In diffusers vulnerabile, il controllo che dovrebbe bloccare il custom code può essere aggirato, e un modello caricato in pipeline AI, CI/CD o container può eseguire istruzioni controllate dal repository invece di restare un semplice download.
Zafran ha individuato tre flaw ad alta gravità che bypassano trust_remote_code, con CVE-2026-44827, CVE-2026-45804 e CVE-2026-44513. Hugging Face ha corretto il problema in diffusers 0.38.0; la libreria conta circa sette milioni di download al mese ed è usata in ambienti di produzione, build e container, quindi l’impatto riguarda il punto in cui il modello entra nella catena di fornitura software.
Per i team che caricano repository di terze parti, il repo stesso va trattato come input di supply chain: non è più solo contenuto da ispezionare, ma un potenziale veicolo di esecuzione. Il controllo principale resta verificare lo stato della patch e considerare compromesso il presupposto che il modello sia passivo fino al load.