Hugging Face Transformers speichert Datei vor Zustimmung

Das US-amerikanische CERT Coordination Center (CERT/CC) hat am 1. September 2026 eine Sicherheitswarnung zu einer Schwachstelle in Hugging Face Transformers veröffentlicht, der weltweit meistgenutzten Python-Bibliothek zum Laden und Ausführen von KI-Modellen. Unter der Kennung CVE-2026-80047 betrifft sie die Versionen 4.49.0 bis 5.8.1 der Bibliothek. Das japanische Schwachstellenportal JVN (Japan Vulnerability Notes) veröffentlichte am selben Tag entsprechende Informationen, ursprünglich gemeldet vom japanischen Medium INTERNET Watch. Zum Zeitpunkt dieses Artikels hat Hugging Face weder einen Patch noch eine offizielle Stellungnahme veröffentlicht.

Hugging Face Transformers ist die Python-Bibliothek der Plattform Hugging Face zum Laden vortrainierter KI-Modelle — für Sprachverarbeitung, Computer Vision, Audio, Video und multimodale Systeme — sowie zum Ausführen von Inferenz oder Nachtraining. Das CERT/CC beschreibt sie als eines der am weitesten verbreiteten Frameworks dieser Art, das weltweit sowohl in der Forschung als auch in produktiven Systemen zum Einsatz kommt.

Eine Datei wird geschrieben, bevor überhaupt gefragt wird

Die Schwachstelle liegt in der Funktion GenerativePreTrainedModel.load_custom_generate(), mit der ein Modell-Repository eigene Generierungslogik bereitstellen kann. Diese Funktion ruft das entfernte Modul über get_cached_module_file() ab und schreibt es in den lokalen Cache des Nutzers unter ~/.cache/huggingface/modules — noch bevor die Bibliothek über resolve_trust_remote_code() die Zustimmung des Nutzers prüft, also den trust_remote_code-Mechanismus, der die Ausführung nicht freigegebenen Codes eigentlich verhindern soll. Das CERT/CC stellt klar, dass die Ausführung selbst bei Ablehnung korrekt blockiert wird; bedingungslos erfolgt lediglich das erste Schreiben auf die Festplatte. Ursache ist ein bedingungsloser Dateikopiervorgang in dynamic_module_utils.py — ein Verhalten, das sich von allen anderen dynamischen Lademechanismen der Bibliothek unterscheidet: AutoConfig, AutoModel, AutoTokenizer und AutoImageProcessor prüfen die Zustimmung jeweils, bevor überhaupt etwas abgerufen oder geschrieben wird.

• Lehnt der Nutzer die Ausführung im Vertrauensdialog ab, bleibt die Datei trotzdem im lokalen Cache erhalten
• Der Betreiber eines bösartigen Modell-Repositorys kann beliebigen Python-Code in custom_generate/generate.py hinterlegen
• Schon der bloße Versuch, das Modell zu laden, löst das Schreiben aus — ohne erhöhte Rechte oder zusätzliche Nutzeraktion
• In Umgebungen mit wiederverwendetem Cache kann eine zuvor geschriebene bösartige Datei bei einem späteren, als vertrauenswürdig eingestuften Laden unbeabsichtigt ausgeführt werden

Noch kein Patch, nur ein vorläufiger Rat

Die Schwachstelle wurde vom Sicherheitsforscher Prasanna Dabi gemeldet. Das CERT/CC gibt an, Hugging Face am 4. August 2026 benachrichtigt zu haben; zum Zeitpunkt der Veröffentlichung der Warnung am 1. September lag keine Stellungnahme des Unternehmens vor, dessen Anbieterstatus im Bericht weiterhin als 'Unknown' geführt wird. Solange kein Fix vorliegt, empfehlen sowohl CERT/CC als auch JVN, load_custom_generate() nicht auf nicht vertrauenswürdigen Modell-Repositorys aufzurufen und das Verzeichnis ~/.cache/huggingface/modules regelmäßig auf unerwartete Dateien zu prüfen und diese zu entfernen.

Das CERT/CC weist zudem darauf hin, dass die anfängliche Dateikopie nach dem Schreiben nicht mehr rückgängig gemacht werden kann: Lehnt der Nutzer ab, blockiert der trust_remote_code-Mechanismus zwar korrekt die Codeausführung, entfernt aber nicht die bereits auf die Festplatte geschriebene Datei. Die Warnung empfiehlt darüber hinaus als allgemeines Designprinzip, dass jede Prüfung im Stil von trust_remote_code erfolgen sollte, bevor überhaupt entfernte Inhalte abgerufen oder geschrieben werden — eine Anforderung, die die betroffene Funktion derzeit nicht erfüllt. Der Quellcode der Bibliothek ist öffentlich auf GitHub einsehbar, wo das Repository huggingface/transformers vorerst der einzige offizielle Kanal bleibt, um den Stand eines Fixes zu verfolgen.

Die Warnung nennt den Sicherheitsforscher Prasanna Dabi als Melder und den CERT/CC-Analysten Bob Kemerer als Verfasser des Dokuments. Zwischen der vertraulichen Benachrichtigung von Hugging Face am 4. August und der öffentlichen Veröffentlichung der Warnung am 1. September verging weniger als ein Monat — ein Zeitraum, in dem das Unternehmen laut dem koordinierten Offenlegungsfahrplan des CERT/CC keine Reaktion zeigte.

Das CERT/CC ist Teil des Software Engineering Institute der Carnegie Mellon University und wird von der US-amerikanischen Cybersecurity and Infrastructure Security Agency (CISA) unterstützt.

Die Ausführung des Moduls wird korrekt blockiert, aber das anfängliche Schreiben der Datei erfolgt bedingungslos — ein Verhalten, das sich von anderen dynamischen Lademechanismen der Bibliothek unterscheidet.

Was das für ein deutsches Entwicklerteam bedeutet

Für jedes deutsche Team, das KI-Pipelines auf Basis von Hugging Face Transformers betreibt — vom Start-up über den Mittelstand bis zum Forschungsinstitut —, ist diese Schwachstelle ein sofortiger Prüfpunkt und keine Meldung zum Ignorieren. Sinnvoll ist es, alle Aufrufe von load_custom_generate() im eigenen Code und in CI/CD-Pipelines zu identifizieren und zu prüfen, ob keiner davon auf ungeprüfte Modell-Repositorys verweist, sowie das Verzeichnis ~/.cache/huggingface/modules auf Entwicklerrechnern und Build-Servern nach unerwarteten Python-Dateien zu durchsuchen. Bis ein offizieller Patch erscheint, bleibt das Festlegen einer festen Bibliotheksversion in der Produktion sowie eine dokumentierte Cache-Prüfroutine die zuverlässigste Maßnahme.