ثغرة في Transformers تحفظ ملفات قبل موافقة المستخدم

أعلن مركز تنسيق فرق الاستجابة لطوارئ الحاسوب الأمريكي (CERT/CC) في الأول من سبتمبر 2026 عن ثغرة أمنية في مكتبة Hugging Face Transformers، وهي أكثر مكتبات بايثون استخداماً في العالم لتحميل نماذج الذكاء الاصطناعي وتشغيلها. وتحمل الثغرة الرقم CVE-2026-80047، وتؤثر على إصدارات المكتبة من 4.49.0 حتى 5.8.1. كما نشرت بوابة JVN اليابانية للثغرات الأمنية (Japan Vulnerability Notes) معلومات مماثلة في اليوم نفسه، وكانت وسيلة الإعلام اليابانية INTERNET Watch أول من نقل الخبر. وحتى وقت كتابة هذا التقرير، لم تصدر شركة Hugging Face أي تصحيح أو بيان رسمي.

مكتبة Hugging Face Transformers هي مكتبة بايثون توفرها منصة Hugging Face لتحميل نماذج الذكاء الاصطناعي المدربة مسبقاً — في معالجة اللغة الطبيعية، والرؤية الحاسوبية، والصوت، والفيديو، والأنظمة متعددة الوسائط — وتنفيذ عمليات الاستدلال أو إعادة التدريب. ويصفها مركز CERT/CC بأنها من أكثر الأطر انتشاراً من نوعها، وتُستخدم في البحث العلمي وبيئات الإنتاج على حد سواء في أنحاء العالم.

ملف يُكتب قبل أن يُطرح السؤال أصلاً

تكمن الثغرة في الدالة GenerativePreTrainedModel.load_custom_generate()، التي تتيح لمستودع نموذج ما تقديم منطق توليد خاص به. تجلب هذه الدالة الوحدة البرمجية البعيدة عبر get_cached_module_file() وتكتبها في ذاكرة التخزين المؤقت المحلية للمستخدم، ضمن المسار ~/.cache/huggingface/modules — وذلك قبل أن تُقيّم المكتبة موافقة المستخدم عبر resolve_trust_remote_code()، وهي آلية trust_remote_code التي يُفترض أن تمنع تنفيذ أي شيفرة غير معتمدة. ويوضح مركز CERT/CC أن تنفيذ الشيفرة نفسه يُحجب بشكل صحيح إذا رفض المستخدم؛ أما عملية الكتابة الأولية على القرص فهي التي تحدث دون شرط. والسبب الجذري هو نسخ ملف غير مشروط داخل dynamic_module_utils.py، وهو سلوك يختلف عن مسارات التحميل الديناميكي الأخرى في المكتبة — إذ تتحقق كل من AutoConfig وAutoModel وAutoTokenizer وAutoImageProcessor من الموافقة قبل جلب أو كتابة أي شيء.

• حتى لو رفض المستخدم التنفيذ في نافذة الثقة، يبقى الملف محفوظاً في ذاكرة التخزين المؤقت المحلية
• يستطيع صاحب مستودع نموذج خبيث وضع أي شيفرة بايثون داخل الملف custom_generate/generate.py
• مجرد محاولة تحميل النموذج تكفي لتفعيل عملية الكتابة، دون الحاجة لصلاحيات مرتفعة أو أي إجراء إضافي من المستخدم
• في البيئات التي تُعاد فيها استخدام ذاكرة التخزين المؤقت، قد يُنفَّذ ملف خبيث سبق حفظه دون قصد أثناء تحميل لاحق يُعتبر موثوقاً

لا تصحيح بعد، فقط توصية مؤقتة

أبلغ عن هذه الثغرة الباحث الأمني براسانا دابي (Prasanna Dabi). ويقول مركز CERT/CC إنه أخطر شركة Hugging Face في 4 أغسطس 2026؛ وحتى تاريخ نشر التنبيه في الأول من سبتمبر، لم تقدم الشركة أي بيان، ولا تزال حالتها كمورّد مُصنّفة بـ'Unknown' في السجل. وفي ظل غياب أي إصلاح، يوصي كل من CERT/CC وJVN بتجنب استدعاء load_custom_generate() على مستودعات نماذج غير موثوقة، وفحص مجلد ~/.cache/huggingface/modules بشكل دوري لحذف أي ملفات غير متوقعة.

كما يشير مركز CERT/CC إلى أن نسخ الملف الأولي، بمجرد حدوثه، لا يمكن التراجع عنه: فإذا رفض المستخدم، تمنع آلية trust_remote_code تنفيذ الشيفرة بشكل صحيح، لكنها لا تحذف الملف الذي سبق كتابته على القرص. ويوصي التنبيه أيضاً، كمبدأ تصميم عام، بأن يتم أي تحقق من نوع trust_remote_code قبل جلب أو كتابة أي محتوى بعيد — وهو شرط لا تستوفيه الدالة المتضررة حالياً. الشيفرة المصدرية للمكتبة متاحة للعامة على GitHub، حيث يبقى مستودع huggingface/transformers حالياً القناة الرسمية الوحيدة لمتابعة تطورات الإصلاح.

ينسب التنبيه الاكتشاف إلى الباحث الأمني براسانا دابي (Prasanna Dabi)، ويذكر أن محلل CERT/CC بوب كيميرر (Bob Kemerer) هو من كتب الوثيقة. ومرّ أقل من شهر بين الإخطار الخاص لشركة Hugging Face في 4 أغسطس ونشر التنبيه علناً في 1 سبتمبر — وهي فترة لم تُبدِ فيها الشركة أي رد، وفقاً للجدول الزمني للإفصاح المنسّق الذي اعتمده CERT/CC.

يتبع مركز CERT/CC معهد هندسة البرمجيات (Software Engineering Institute) في جامعة كارنيغي ميلون، ويعمل بدعم من وكالة الأمن السيبراني وأمن البنية التحتية الأمريكية (CISA).

تنفيذ الوحدة البرمجية محجوب بشكل صحيح، لكن الكتابة الأولية للملف تحدث دون شرط — وهو سلوك مختلف عن بقية مسارات التحميل الديناميكي للوحدات في المكتبة.

ما الذي يتغير بالنسبة لفريق تطوير عربي

بالنسبة لأي فريق تطوير في المنطقة العربية يبني خطوط معالجة للذكاء الاصطناعي فوق مكتبة Hugging Face Transformers — سواء كانت شركة ناشئة أو بنكاً أو جامعة — تمثل هذه الثغرة بنداً يستوجب المراجعة الفورية، لا مجرد تنبيه يُتجاهل. من المفيد حصر كل استدعاءات load_custom_generate() في الشيفرة البرمجية وخطوط CI/CD، والتأكد من أن أياً منها لا يشير إلى مستودعات نماذج غير مُدقَّقة، ثم فحص مجلد ~/.cache/huggingface/modules على أجهزة المطورين وخوادم البناء بحثاً عن ملفات بايثون غير معروفة. وإلى حين صدور تصحيح رسمي، يبقى تثبيت إصدار المكتبة المستخدم في بيئة الإنتاج وتوثيق إجراء دوري لمراجعة ذاكرة التخزين المؤقت أكثر الإجراءات موثوقية المتاحة حالياً.