Hugging Face Diffusersに任意コード実行の脆弱性
- Hugging FaceのDiffusersライブラリに高深刻度の脆弱性3件が発見された
- 細工されたモデルリポジトリを読み込むと任意コードが実行される恐れがある
- 安全機構trust_remote_codeを回避する手法で、修正版0.38.0が既に公開済み
かんたんに言うと
AI画像生成などに使われる部品(Diffusers)に欠陥があり、悪意あるAIモデルを読み込むとパソコンが乗っ取られる恐れがあります。最新版に更新すれば防げます。
AIセキュリティとの関連: AIモデルの配布基盤自体が攻撃経路になり得る、AIサプライチェーンの信頼性に関わる脆弱性のため。
何が起きたか
セキュリティ企業Zafran Labsの研究者が、Hugging FaceのPythonライブラリ「Diffusers」に3件の高深刻度脆弱性を発見したと報じられている。総称は「FaceHugger」。Diffusersは画像・動画・音声生成用の事前学習済みモデルを扱うライブラリで、2026年7月だけで810万回以上ダウンロードされたとされる。問題は、未検証コードの実行を防ぐ安全機構「trust_remote_code」が、モデルのダウンロード処理を構成する2回のHTTPリクエストのうち最初の1回しか検証しないこと。これはTOCTOU(検証時と使用時の間に内容が変わってしまう時間差の問題)と呼ばれる脆弱性の一種で、細工したリポジトリを使えばこの検証を回避し、任意コードを実行できるという。該当するのはCVE-2026-44827(CVSS 8.8)、CVE-2026-45804(CVSS 7.5)、CVE-2026-44513(CVSS 8.8)の3件。開発元は責任開示を受け、2026年5月上旬公開のDiffusers 0.38.0で修正済みとされる。
誰に・どう影響するか
中小企業では、AI画像生成ツールや社内向けチャットボット構築にDiffusersを組み込んでいる場合、外部から取得したモデルを介して社内端末が侵害されるリスクがある。専任のセキュリティ担当者がいない場合、ライブラリのバージョン管理が後回しになりやすく注意が必要。大企業では、Diffusersが本番パイプラインやCI/CD(継続的インテグレーション・デリバリーの自動化基盤)、コンテナイメージに組み込まれているケースが多く、侵害されれば開発環境全体への横展開につながる恐れがある。特にHugging Face上の未監査モデルを自動取得する仕組みを持つ組織は影響範囲が広くなる。
今すぐやるべきアクション
- Diffusersを0.38.0以降に速やかにアップデートする
- アップデートが難しい場合、信頼できる監査済みソースからのみfrom_pretrainedを呼び出す
- custom_pipelineで別のHubリポジトリを指定する運用を避ける
- ローカルスナップショット内に想定外の.pyファイルがないか確認する
- AIモデルリポジトリを『信頼できないコード』として扱う運用ルールを見直す
重大度の判定理由
重大度「高」: CVSS最大8.8で悪用実証済みの手口だが、修正版0.38.0が既に公開されておりパッチ適用で対処可能。