Se ha revelado una vulnerabilidad crítica (CVE-2026-4372) en la librería HuggingFace Transformers que permite a los atacantes lograr la ejecución remota de código (RCE) mediante archivos de configuración de modelos maliciosos. Este fallo representa un riesgo significativo para la cadena de suministro, afectando a desarrolladores, empresas y flujos de trabajo de IA a nivel global.

Una vulnerabilidad crítica recientemente revelada en la biblioteca Transformers de HuggingFace, rastreada como CVE-2026-4372, permite que los atacantes logren la ejecución remota de código (RCE) a través de archivos de configuración de modelos maliciosos.

El fallo expone un riesgo significativo de la cadena de suministro en uno de los marcos de trabajo de aprendizaje automático más utilizados, afectando a desarrolladores, empresas y canales de IA a nivel global.

La vulnerabilidad se deriva del manejo inadecuado de datos no confiables en los archivos de configuración del modelo, específicamente en el atributo _attn_implementation_internal.

Los atacantes pueden inyectar este campo en el archivo config.json de un modelo, haciendo que la biblioteca cargue y ejecute código Python arbitrario durante el proceso estándar de carga del modelo.

Esto ocurre incluso cuando se aplica el control de seguridad trust_remote_code=False, evadiendo eficazmente un mecanismo de protección clave.

El fallo de HuggingFace permite RCE

El problema afecta a las versiones de Transformers desde la 4.56.0 hasta la 5.2.x cuando se utilizan con el paquete opcional de kernels.

La ruta de código vulnerable fue introducida en agosto de 2025. Permaneció explotable hasta marzo de 2026, creando una ventana de exposición de aproximadamente seis meses.

Durante este periodo, cualquier usuario que cargara un modelo malicioso desde HuggingFace Hub utilizando la función común from_pretrained() podría haber sido comprometido silenciosamente.

En un escenario de ataque típico, un actor de amenazas sube un modelo aparentemente legítimo a HuggingFace Hub. El modelo incluye un archivo config.json manipulado que contiene el campo malicioso _attn_implementation_internal, el cual apunta a un repositorio controlado por el atacante.

Cuando la víctima carga el modelo, la biblioteca Transformers descarga e importa automáticamente el código referenciado sin validación ni aislamiento (sandboxing). Esto conduce a la ejecución inmediata de código en el sistema de la víctima.

Una explotación exitosa permite a los atacantes acceder a datos sensibles, incluyendo credenciales de AWS, claves SSH, tokens de API y variables de entorno.

También permite mecanismos de persistencia, movimiento lateral a través de la infraestructura y la posible vulneración de canales de CI/CD.

Debido a que el ataque se ejecuta durante la carga normal del modelo, no produce advertencias ni indicadores visibles, lo que hace que la detección sea extremadamente difícil.

La escala del impacto es sustancial. La biblioteca Transformers tiene más de 2.200 millones de instalaciones y procesa aproximadamente 146 millones de descargas al mes.

Con más de un millón de modelos alojados en HuggingFace Hub, la superficie de ataque es extensa. Durante el periodo de exposición, se estima que 232 millones de instalaciones eran vulnerables, lo que aumenta la probabilidad de explotación en el mundo real.

Investigadores de Pluto Security señalaron que la vulnerabilidad resalta un problema más amplio en los ecosistemas de aprendizaje automático: tratar los archivos y configuraciones de los modelos como entradas confiables.

Se han observado patrones similares en otros marcos de trabajo, donde los modos "seguros" no logran evitar la ejecución de código porque las rutas internas no están totalmente contabilizadas.

HuggingFace solucionó el problema en la versión 5.3.0 bloqueando atributos internos no seguros durante el análisis de la configuración y aplicando controles más estrictos en la carga de kernels.

La corrección también garantiza que la ejecución de código externo requiera el consentimiento explícito del usuario a través de trust_remote_code=True. Se recomienda encarecidamente a las organizaciones que utilicen Transformers que actualicen inmediatamente a la versión 5.3.0 o posterior.

Además, tus equipos deberían auditar los modelos descargados previamente, monitorear conexiones salientes sospechosas e aislar los entornos de ejecución de modelos para reducir el riesgo.

El CVE-2026-4372 subraya la creciente importancia de asegurar las cadenas de suministro de IA. A medida que la adopción del aprendizaje automático se acelera, los atacantes se dirigen cada vez más a las plataformas de distribución de modelos, convirtiendo los flujos de trabajo confiables en vectores de ataque de alto impacto.

Fuentes:
https://cybersecuritynews.com/hugging-face-rce-vulnerability/