Hugging Face diffusers に複数の脆弱性：悪意の AI モデルによる RCEの恐れ

Hugging Face Diffusers Vulnerabilities Enable Remote Code Execution Through Malicious AI Models

2026/08/03 CyberSecurityNews — Hugging Face の diffusers ライブラリに存在する深刻な脆弱性により、悪意のモデル・リポジトリを読み込んだ任意のマシン上で、任意のコードが検知されることなく実行される恐れがある。これらの脆弱性を悪用する攻撃者は、カスタム・パイプラインの読み込みプロセス中に未レビューのコードの実行を防ぐために設計されたセキュリティ対策である trust_remote_code をバイパスできる。それにより、Hugging Face を基盤インフラとして扱うようになった AI エコシステムにとって、深刻な懸念材料が生じている。

Hugging Face のライブラリとリポジトリが、世界中の開発／研究／本番環境に深く組み込まれていることから、AI 時代の GitHub と呼ばれる存在へと急速に進化している。

この diffusers ライブラリは、本番パイプライン／CI/CD システム／コンテナ・イメージ内で実行されるため、1 回のモデル読み込みが侵害されるだけで、攻撃の影響は隔離されたユーザー・アプリケーションに留まらず、企業ネットワークの深部へ向けた初期アクセス権が獲得される可能性がある。

diffusers のダウンロード数は月間約 700 万回であり、インストール数は 1 日あたり約 200,000 件であるため、この脆弱性の影響規模はきわめて大きい。その一方で、Hugging Face 全体では、Microsoft／Amazon Bedrock／NVIDIA／Apple との提携を通じた利用を含め、月間 1 億回を超えるダウンロードが処理されている。

この調査は、2026年7月に発生した Hugging Face のセキュリティ・インシデントを受けてのものである。このインシデントでは、プラットフォームのデータ処理パイプラインに存在する 2 つのコード実行経路が、悪意のデータセットにより攻撃された。この攻撃に成功した AI エージェントは、ワーカー上でコードを実行し、ノード・レベルのアクセス権限へ権限を昇格させ、クラウド／クラスタの認証情報を収集し、内部クラスタへ向けたラテラル・ムーブメントを達成した。

その後に OpenAI が、侵入の原因が GPT-5.6 Sol などの自社モデルにあると特定した。それらのモデルのセキュリティ対策は、評価のために意図的に緩和されていたと報じられている。

Hugging Face は、公開モデル／データセット／コンテナ・イメージが改竄された証拠は見つからなかったとしている。その一方で Zafran の調査結果が示すのは、AI リポジトリのコンテンツを実行可能なものではなく、信頼されたものとして扱うという根本的な弱点が、モデル読み込みパス自体にも及んでいることだ。

Hugging Face diffusers の脆弱性

Zafran が特定した、すべての変種には、古典的な Time-of-Check to Time-of-Use (TOCTOU) の欠陥という根本的な原因がある。本来は単一のアトミック操作として機能すべきモデルのダウンロードが、実際には 2 つの連続した非アトミックな HTTP リクエストに分割されており、trust_remote_code を強制するセキュリティ・ゲートは、最初のリクエストのみをチェックしている。

つまり、通常は受動的なデータとして扱われる、コンフィグ・ファイル／ローダー／カスタム・パイプライン・コードが、気づかれないうちに実行可能なコードとして扱われ、通常のモデル読み込みを初期アクセス・ベクターに変えてしまう可能性がある。

今回の開示では、3 件の脆弱性が対象とされている。

• CVE-2026-44827 (CVSS 8.8)：デフォルトの “None.py” ファイルを、diffusers がカスタム・パイプライン・コードとして解決する仕組みを悪用する、コード・インジェクションの脆弱性。
• CVE-2026-45804 (CVSS 7.5)：コンフィグ取得とリポジトリ全体のダウンロードの間に生じる、約 0.3 秒のウィンドウを悪用する競合状態の脆弱性。
• CVE-2026-44513 (CVSS 8.8)：クロス・リポジトリのパイプライン読み込み／ローカル・スナップショットのバイパス／悪意のカスタム・コンポーネントを対象とする、3 つの関連変種の脆弱性。

さらに Zafran は、Hugging Face の transformers ライブラリにおける類似の欠陥も公表している。この脆弱性を悪用する攻撃者は、固定されたコミット・ハッシュの伝播が失敗したときに、trust_remote_code の承認後に悪意のコードへの差し替えを可能にする。

これらの調査結果は、Zafran Labs が継続している Project DarkSide の研究を発展させるものである。これまでに、同プロジェクトにより明らかにされたものには、クラウド API キーを漏洩させる Chainlit フレームワークの深刻な脆弱性／テナント間のデータ盗聴を可能にする Dify プラットフォームの脆弱性などがある。それにより浮き彫りにされたのは、急速に普及している AI インフラが、長年にわたって存在してきた各種のソフトウェア脆弱性を大規模に再導入している実態である。

diffusers を使用している組織は、直ちにバージョン 0.38.0 以降へアップグレードする必要がある。この最新バージョンでは、セキュリティ・チェックが動的モジュール読み込みのチョークポイントへ移され、特定されたバイパスの手法が修正されている。また、セキュリティ・チームにとって必要なことは、特定のリポジトリ・リビジョンを固定し、すべての AI モデル・リポジトリを、受動的なデータではなく、信頼できない実行可能コードとして扱うことだ。

Hugging Face の diffusers ライブラリに深刻な脆弱性が見つかりました。今回の問題の主な原因は、モデルのダウンロード処理における TOCTOU という欠陥です。ダウンロード時のセキュリティチェックが非原子的な 2 回の処理に分かれており、最初のチェックしか行われない隙を突かれてしまいます。これにより trust_remote_code による制御が回避され、意図しないコードが実行される恐れがあります。関係する識別子は CVE-2026-44827／CVE-2026-45804／CVE-2026-44513 です。対象のライブラリをお使いの場合は、修正済みの最新版へ更新してください。よろしければ、Hugging Face での検索結果も、ご参照ください。