Diffusers исправила обход trust_remote_code: важен способ загрузки модели

Hugging Face выпустила Diffusers 0.42.1 с исправлением загрузки компонентов модели. Обновление закрывает сценарий, при котором код из локально скачанного репозитория мог выполниться даже с trust_remote_code=False. Это важно тем, кто запускает чужие пайплайны на своей машине.

Флаг доверия не охватывал весь путь

Согласно уведомлению GHSA-4prv-5hj7-c2xr, имена модулей из конфигурации попадали в механизм импорта Python без необходимой проверки. Проблема затрагивала не только основной DiffusionPipeline: в уведомлении перечислены также AutoModel и модульные загрузчики.

У атаки есть существенное условие: каталог репозитория должен быть доступен для импорта через sys.path. Пример — пользователь скачал репозиторий в локальную папку и запустил скрипт из родительского каталога. Для загрузки по идентификатору Hub без предварительного локального скачивания автор уведомления этот путь не подтверждает. Это не означает, что любая загрузка модели автоматически заражает компьютер.

Что проверить в окружении

В уведомлении уязвимыми названы версии до 0.42.0 включительно, исправленной — 0.42.1. Разработчики рекомендуют пользователям 0.42.0 установить патч командой pip install diffusers==0.42.1. В рабочем проекте сначала проверьте совместимость зависимостей в отдельном окружении.

Не считайте ошибку загрузки доказательством безопасности: в описанном воспроизведении исключение возникало уже после выполнения тела модуля. Проверьте установленную версию и способ загрузки локальных репозиториев, а не только значение флага доверия. Независимую проверку эксплуатации мы не проводили.