Drei Schwachstellen in Hugging Faces Diffusers-Bibliothek könnten es einem bösartigen Modell-Repository ermöglichen, beliebigen Code auszuführen.

Sicherheitsforscher haben drei Schwachstellen mit hohem Schweregrad in Hugging Faces Diffusers-Bibliothek offengelegt, dem weit verbreiteten Python-Toolkit für Bild- und Videogenerierungsmodelle. Diese könnten es einem bösartig präparierten Modell-Repository ermöglichen, beliebigen Code auf dem Rechner eines Opfers auszuführen. Die Schwachstellen, gemeinsam als FaceHugger bezeichnet, umgehen den integrierten trust_remote_code-Schutz der Bibliothek – genau jenen Mechanismus, der genau diese Angriffsklasse verhindern soll.

Ein Timing-Problem, kein kaputtes Schloss

Die trust_remote_code-Einstellung von Diffusers soll verhindern, dass ungeprüfter, potenziell bösartiger Python-Code aus einem Modell-Repository automatisch ausgeführt wird, wenn ein Nutzer das Modell lädt. Die FaceHugger-Schwachstellen nutzen einen Time-of-Check-to-Time-of-Use-Fehler (TOCTOU) in der Implementierung dieses Schutzes: Die Überprüfung erfolgt während des ersten von zwei aufeinanderfolgenden HTTP-Requests beim Herunterladen eines Modells, aber der eigentliche Code wird erst später ausgeführt. Ein Angreifer, der den Inhalt des Repositories im Zeitfenster zwischen diesen beiden Requests verändern kann, kann bösartigen Code vollständig an der Prüfung vorbeischleusen. Wie die Forscher es formulieren: Jede Methode, die den Loader dazu bringt, benutzerdefinierten Code zu sehen, den das Sicherheitsgate nie inspiziert hat, hebt den Schutz auf.

Drei verschiedene Einstiegspunkte

Die Offenlegung umfasst drei separate CVEs. CVE-2026-44827 (CVSS 8.8) ermöglicht Code-Injection über eine manipulierte Pipeline-Datei, die täuschend als „None.py" benannt ist – eine Dateinamenwahl, die bei manuellen Reviews leicht übersehen wird. CVE-2026-45804 (CVSS 7.5) nutzt die Race Condition in der Download-Sequenz direkt aus. CVE-2026-44513 (CVSS 8.8) erreicht Code-Injection durch Manipulation von benutzerdefinierten Pipeline-Abläufen. Alle drei teilen dieselbe zugrunde liegende Schwäche: die Lücke zwischen dem Zeitpunkt, an dem Diffusers die Vertrauenswürdigkeit eines Repositories prüft, und dem Zeitpunkt, an dem es den Code des Repositories tatsächlich verwendet.

Warum die Größenordnung hier wichtig ist

Diffusers wurde allein im Juli 2026 mehr als 8,1 Millionen Mal heruntergeladen und steckt in einer Vielzahl von produktiven AI-Pipelines, CI/CD-Systemen und Container-Deployments, die Modelle automatisch mit minimaler menschlicher Prüfung ziehen und ausführen. Jeder Codepfad, der DiffusionPipeline.from_pretrained mit einer benutzerdefinierten Pipeline aufruft, ist potenziell betroffen. In einem Ökosystem, in dem Teams routinemäßig Modelle aus öffentlichen Repositories laden, hat eine Schwachstelle, die genau den Schutz umgeht, der speziell für die Prüfung dieses Codes gebaut wurde, eine überproportionale Reichweite.

Was zu tun ist

Der Fix von Hugging Face wurde in Diffusers Version 0.38.0 ausgeliefert, die im Mai 2026 veröffentlicht wurde – Teams, die noch ältere Versionen nutzen, sollten sofort aktualisieren. Wo ein sofortiges Patchen nicht möglich ist, ist die sicherste Haltung, Modelle nur aus vollständig vertrauenswürdigen, geprüften Quellen zu laden und lokale Modell-Snapshots manuell auf unerwartete Python-Dateien zu untersuchen, insbesondere auf solche mit irreführenden oder getarnten Dateinamen.

Wie von The Hacker News berichtet, reiht sich die Offenlegung in ein wachsendes Muster von AI-Supply-Chain-Forschung in diesem Jahr ein, die sich gegen die Vertrauensmechanismen richtet, die es Entwicklern ermöglichen, Drittanbieter-Modelle sicher zu ziehen und auszuführen – Mechanismen, die nur so stark sind wie die Timing-Annahmen, die in ihrer Implementierung stecken.