Hugging Face Transformers slaat bestand op zonder toestemming

Het Amerikaanse CERT Coordination Center (CERT/CC) publiceerde op 1 september 2026 een beveiligingswaarschuwing over een kwetsbaarheid in Hugging Face Transformers, wereldwijd de meest gebruikte Python-bibliotheek voor het laden en uitvoeren van AI-modellen. Onder de aanduiding CVE-2026-80047 treft het lek de versies 4.49.0 tot en met 5.8.1 van de bibliotheek. Het Japanse kwetsbaarhedenportaal JVN (Japan Vulnerability Notes) publiceerde diezelfde dag vergelijkbare informatie, aanvankelijk gemeld door het Japanse medium INTERNET Watch. Op het moment van schrijven heeft Hugging Face geen patch of officiële verklaring uitgebracht.

Hugging Face Transformers is de Python-bibliotheek van het platform Hugging Face waarmee vooraf getrainde AI-modellen worden geladen — voor taalverwerking, computervisie, audio, video en multimodale systemen — om inferentie of nadere training uit te voeren. Het CERT/CC omschrijft de bibliotheek als een van de meest gebruikte frameworks in zijn soort, wereldwijd ingezet in zowel onderzoek als productieomgevingen.

Een bestand geschreven nog vóór de vraag gesteld is

Het lek zit in de functie GenerativePreTrainedModel.load_custom_generate(), waarmee een model-repository eigen generatielogica kan aanleveren. Deze functie haalt de externe module op via get_cached_module_file() en schrijft die weg naar de lokale cache van de gebruiker, onder ~/.cache/huggingface/modules — nog vóórdat de bibliotheek via resolve_trust_remote_code() de toestemming van de gebruiker evalueert, het trust_remote_code-mechanisme dat juist bedoeld is om uitvoering van niet-goedgekeurde code te blokkeren. Het CERT/CC benadrukt dat de uitvoering zelf wél correct wordt geblokkeerd als de gebruiker weigert; het is de eerste schrijfactie naar schijf die onvoorwaardelijk plaatsvindt. De grondoorzaak is een onvoorwaardelijke bestandskopie in dynamic_module_utils.py, een gedrag dat afwijkt van alle andere dynamische laadroutes in de bibliotheek — AutoConfig, AutoModel, AutoTokenizer en AutoImageProcessor controleren stuk voor stuk eerst de toestemming voordat er iets wordt opgehaald of geschreven.

• Ook als de gebruiker de uitvoering weigert in het vertrouwensvenster, blijft het bestand achter in de lokale cache
• De maker van een kwaadaardige model-repository kan willekeurige Python-code plaatsen in custom_generate/generate.py
• Alleen al een poging om het model te laden triggert het schrijven, zonder verhoogde rechten of extra actie van de gebruiker
• In omgevingen waar de cache wordt hergebruikt, kan een eerder weggeschreven kwaadaardig bestand bij een latere, als vertrouwd beschouwde model-load per ongeluk alsnog worden uitgevoerd

Nog geen patch, alleen een tijdelijk advies

Het lek werd gemeld door beveiligingsonderzoeker Prasanna Dabi. Het CERT/CC zegt Hugging Face op 4 augustus 2026 te hebben ingelicht; op de publicatiedatum van de waarschuwing, 1 september, had het bedrijf nog geen verklaring afgelegd en staat de leveranciersstatus in het dossier nog altijd als 'Unknown' vermeld. Zolang er geen fix is, adviseren zowel het CERT/CC als JVN om load_custom_generate() niet aan te roepen op onvertrouwde model-repositories, en om de map ~/.cache/huggingface/modules regelmatig te controleren op onverwachte bestanden en die te verwijderen.

Het CERT/CC wijst er bovendien op dat de eerste bestandskopie niet meer ongedaan kan worden gemaakt zodra die heeft plaatsgevonden: als de gebruiker weigert, blokkeert het trust_remote_code-mechanisme weliswaar terecht de uitvoering van de code, maar wordt het reeds naar schijf geschreven bestand niet verwijderd. De waarschuwing beveelt daarnaast, als algemeen ontwerpprincipe, aan dat elke trust_remote_code-achtige controle moet plaatsvinden vóórdat externe inhoud wordt opgehaald of weggeschreven — een eis waaraan de betrokken functie momenteel niet voldoet. De broncode van de bibliotheek is publiek beschikbaar op GitHub, waar de repository huggingface/transformers voorlopig het enige officiële kanaal blijft om de voortgang van een oplossing te volgen.

De waarschuwing vermeldt beveiligingsonderzoeker Prasanna Dabi als melder en CERT/CC-analist Bob Kemerer als auteur van het document. Tussen de vertrouwelijke melding aan Hugging Face op 4 augustus en de publieke vrijgave van de waarschuwing op 1 september verstreek minder dan een maand — een periode waarin het bedrijf, volgens het gecoördineerde openbaarmakingsschema van het CERT/CC, geen enkele reactie gaf.

Het CERT/CC valt onder het Software Engineering Institute van Carnegie Mellon University en wordt ondersteund door de Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA).

De uitvoering van de module wordt correct geblokkeerd, maar het eerste schrijven van het bestand gebeurt onvoorwaardelijk — een ander gedrag dan bij de overige dynamische laadroutes in de bibliotheek.

Wat dit betekent voor een Nederlands ontwikkelteam

Voor elk Nederlands team dat AI-pipelines bouwt op Hugging Face Transformers — van start-up tot bank of universiteit — is dit lek een direct actiepunt, geen waarschuwing om te negeren. Breng alle aanroepen van load_custom_generate() in de codebase en CI/CD-pipelines in kaart en controleer of geen ervan verwijst naar ongecontroleerde model-repositories, en doorzoek vervolgens de map ~/.cache/huggingface/modules op ontwikkelmachines en buildservers op onverwachte Python-bestanden. Tot er een officiële patch verschijnt, is het vastzetten van de bibliotheekversie in productie, samen met een gedocumenteerde procedure voor cachecontrole, de betrouwbaarste maatregel.