SafeTensors convirtió los pesos de los modelos de IA en datos, no en código ejecutable

La publicación abierta de modelos convirtió los puntos de control pickle de PyTorch en un canal de distribución de confianza. Pickle era cómodo, pero la documentación de seguridad de Hugging Face explica que deserializar pickle puede ejecutar código, incluidos elementos integrados peligrosos como eval o exec.

SafeTensors respondió acotando el formato. Almacena tensores de forma segura, mantiene una carga rápida mediante acceso de copia cero y permite la carga parcial para que los fragmentos grandes de modelos no tengan que deserializarse todos a la vez. La inteligencia está en restar: los pesos del modelo pasan a ser solo datos.

Tras una auditoría de Trail of Bits en 2023, Hugging Face, EleutherAI y Stability AI avanzaron hacia convertir SafeTensors en el formato predeterminado para guardar modelos. La documentación enumera un amplio respaldo de proyectos, y las API de serialización de Hugging Face ahora recomiendan la serialización segura por motivos de seguridad.

Los pesos nunca deberían ejecutarse

Eliminó la ejecución de código arbitrario en lugar de intentar incluir en listas negras importaciones pickle maliciosas.

La copia cero y la carga diferida hicieron que la seguridad fuera más rápida, no más lenta.

Una superficie de formato mínima hizo practicable la auditoría externa.

Los flujos de conversión del hub permitieron migrar los modelos existentes sin esperar a que cada autor aprendiera una nueva herramienta.

Cuando un archivo se comparte a escala de internet, eliminar toda una clase de ataque supera a intentar inspeccionar cada archivo peligroso.

SafeTensors se extendió por la cadena de herramientas de IA a medida que crecían los modelos abiertos. La documentación de Hugging Face enumera su adopción por Transformers, Diffusers, llama.cpp, ComfyUI y otros proyectos, mientras que la publicación de la auditoría de 2023 decía que Transformers avanzaría hacia guardar modelos en SafeTensors de forma predeterminada.