Scanner DITTO detecta ataques de deserializacao Pickle em modelos de IA do Hugging Face com cobertura total
Apesar da existencia de formatos de serializacao mais seguros, 9,3% de mais de 10 mil repositorios populares do Hugging Face ainda distribuem modelos no formato Pickle, que permite execucao arbitraria de codigo na desserializacao. O DITTO, um novo scanner que rastreia a maquina virtual do Pickle e faz analise semantica sensivel ao contexto, atingiu 100% de cobertura, 0% de falsos negativos e apenas 0,7% de falsos positivos em um benchmark com 959 modelos benignos e 92 maliciosos.
Modelos de aprendizado de maquina pre-treinados circulam amplamente como arquivos binarios serializados, e uma fracao relevante deles ainda usa o formato Pickle do Python, que por design permite executar codigo arbitrario no momento em que o arquivo e carregado. A analise dos autores sobre mais de 10 mil repositorios populares do Hugging Face encontrou que 9,3% ainda dependem de Pickle, mesmo com alternativas mais seguras disponiveis ha anos, o que mantem uma superficie de ataque de supply chain relevante: baixar e carregar um modelo malicioso pre-treinado pode comprometer imediatamente a maquina de quem o usa.
Scanners existentes para esse problema sofrem do que os autores chamam de "gap entre cobertura e precisao": ou deixam passar comportamentos sensiveis a seguranca, ou geram alertas falsos em excesso, tornando a triagem manual inviavel em escala. O DITTO ataca isso rastreando fielmente as transicoes de estado da maquina virtual do Pickle (um interpretador de pilha) e aplicando analise semantica sensivel ao contexto para inferir a intencao real das operacoes executadas durante a desserializacao, em vez de apenas sinalizar chamadas de funcao suspeitas isoladamente.
Os autores tambem construiram o PickleBench, um benchmark com 959 modelos benignos e 92 maliciosos reais, incluindo ataques de registro de extensao (extension registry attacks) que scanners anteriores nao detectavam. Nesse benchmark, o DITTO alcancou 100% de cobertura de escaneamento, 0% de taxa de falsos negativos e apenas 0,7% de falsos positivos, resultando em F1 score de 0,966, superando claramente as ferramentas existentes no estado da arte.
A relevancia pratica esta na escala do problema: com quase um decimo dos repositorios populares de modelos ainda usando um formato inerentemente inseguro, uma ferramenta capaz de gerar relatorios de seguranca acionaveis com evidencia contextual, sem sobrecarregar times de seguranca com falsos positivos, e uma peca concreta de defesa de supply chain para quem consome modelos de terceiros de plataformas como o Hugging Face.