Hugging Face Transformersに脆弱性、同意前にPython保存

米CERT Coordination Center(CERT/CC)は2026年9月1日、AI開発で世界的に使われるPythonライブラリ「Hugging Face Transformers」(バージョン4.49.0から5.8.1)に、ユーザーの同意を得る前に外部のPythonファイルをローカルディスクへ書き込んでしまう脆弱性があると発表した。脆弱性には識別番号CVE-2026-80047が割り当てられている。日本の脆弱性情報ポータルサイト「JVN」(Japan Vulnerability Notes)も同日、この脆弱性に関する情報を公開した。取材時点で、開発元のHugging Faceから修正パッチや公式な声明は出されていない。

Hugging Face Transformersは、学習済みAIモデルを共有するプラットフォーム「Hugging Face」が提供するPythonライブラリで、自然言語処理や画像認識、音声、動画、マルチモーダルなど幅広い分野のAIモデルを読み込み、推論や追加学習を行うための標準的な基盤として世界中の開発者に使われている。CERT/CCの脆弱性ノート「VU#456290」は、Transformersがこの種のライブラリとして最も広く使われているものの一つだと説明している。

脆弱性の仕組み

問題が見つかったのは、モデル固有の生成処理を読み込む関数「GenerativePreTrainedModel.load_custom_generate()」だ。この関数は、モデルのリポジトリに含まれるカスタムコード(custom_generate/generate.py)を関数「get_cached_module_file()」で取得し、ユーザーのホームディレクトリ配下のキャッシュ領域「~/.cache/huggingface/modules」へ保存する。ところがこの保存処理は、ユーザーに実行の可否を尋ねる同意確認(trust_remote_code、関数「resolve_trust_remote_code()」による評価)よりも前に、無条件で実行されてしまう。CERT/CCは、原因はファイル操作を担う「dynamic_module_utils.py」内の無条件のコピー処理にあり、他の読み込み機構(AutoConfig、AutoModel、AutoTokenizer、AutoImageProcessor)がいずれも同意確認を済ませてから外部コードを取得・保存するのとは対照的だと指摘している。

• ユーザーが確認画面で実行を「拒否」した場合でも、ファイルはキャッシュ領域に保存されたまま残る
• 悪意あるモデルリポジトリの制作者は、custom_generate/generate.pyに任意のPythonコードを仕込める
• 対象モデルを読み込もうとするだけで、特別な権限やユーザーの追加操作なしにファイル書き込みが発生する
• キャッシュ領域が使い回される環境では、後の「信頼できる」モデル読み込み時に、以前保存された悪意あるファイルが意図せず実行される恐れがある

対応策と現在の状況

CERT/CCの脆弱性ノートによると、この脆弱性はセキュリティ研究者Prasanna Dabi氏の報告によるもので、CERT/CCは2026年8月4日にHugging Face社へ通知した。だが9月1日時点で同社からの声明は得られておらず、ベンダーステータスは「Unknown」のままだ。取材時点で公式パッチは存在しないため、CERT/CCとJVNはいずれも、信頼できないモデルリポジトリに対してload_custom_generate()を使用しないことと、キャッシュ領域「~/.cache/huggingface/modules」を定期的に点検し、身に覚えのないファイルがあれば削除することを推奨している。

CERT/CCはさらに、最初のファイルコピーは一度実行されると取り消せない点も指摘している。ユーザーが拒否した場合、trust_remote_codeの仕組みはコード実行そのものは正しくブロックするが、すでにディスクへ書き込まれたファイルまでは削除しない。同ノートはまた、より一般的な設計原則として、trust_remote_code的な検証は、外部コンテンツの取得や書き込みに先立って行われるべきだと勧告しており、問題の関数は現時点でこの要件を満たしていないと指摘する。このライブラリのソースコードはGitHub上で公開されており、huggingface/transformersリポジトリが、現時点でパッチの進捗を追える唯一の公式窓口となっている。

同ノートは、脆弱性の報告者をセキュリティ研究者Prasanna Dabi氏、文書の執筆者をCERT/CCのアナリストBob Kemerer氏としている。Hugging Faceへの非公開通知(8月4日)から公開(9月1日)までは1カ月に満たず、CERT/CCの協調的な開示手順によれば、この間、同社からの反応は一切なかったという。

なお、CERT/CCはカーネギーメロン大学ソフトウェア工学研究所(Software Engineering Institute)の一組織であり、米国土安全保障省傘下のサイバーセキュリティ・インフラセキュリティ庁(CISA)の支援を受けて活動している。

trust_remote_codeによる確認は正しく機能しているが、最初のファイル書き込み自体が無条件に行われる。これは他の動的モジュール読み込み経路とは異なる挙動だ。

日本企業にとって何が変わるのか

日本国内でAI開発にHugging Face Transformersを使う企業やエンジニアにとって、今回の脆弱性は実務上の点検項目になる。CI/CDパイプラインや学習環境で外部のモデルリポジトリを自動的に読み込む仕組みを持つ場合は、load_custom_generate()の呼び出し箇所を洗い出し、信頼できないリポジトリを参照していないか確認する必要がある。あわせて、開発機やビルドサーバーの「~/.cache/huggingface/modules」ディレクトリに見覚えのないPythonファイルがないか点検し、パッチが公開されるまではライブラリのバージョンを固定するか、社内での代替手段の検討を進めておくことが望ましい。