Modelos de PyTorch son ejecutables: Por qué construí un escáner para detener "bombas de pickle"

Modelos de PyTorch son ejecutables: Por qué construí un escáner para detener bombas de pickle

Si trabajas en DevOps o en ciberseguridad probablemente revisas requirements.txt con devoción y usas herramientas como Snyk o Dependabot para detectar versiones vulnerables de librerías. Esa sensación de seguridad se desvanece cuando un equipo de datos descarga un archivo .pt de 5 GB desde un repositorio público y lo carga directamente en producción. Muchos tratamos los modelos de IA como datos inertes cuando en realidad son ejecutables.

La realidad técnica es simple pero crítica. Un archivo .pt de PyTorch es en esencia un archivo Zip que contiene pesos y la estructura serializada con el módulo pickle de Python. Pickle puede ejecutar código arbitrario al desempaquetar objetos. Al ejecutar torch.load sobre un archivo malicioso, el unpickler procesa una secuencia de opcodes que puede incluir instrucciones para importar os y ejecutar system, lo que resulta en ejecución remota de código sin sandbox ni aviso. En la práctica es posible crear un objeto con un método reduce que devuelva una llamada a os.system con un comando destructivo y guardarlo con torch.save; al cargar ese archivo el servidor puede quedar comprometido al instante.

Por qué fallan las herramientas SCA tradicionales. Las herramientas de Software Composition Analysis comparan versiones de paquetes en archivos como requirements.txt contra bases de datos de CVE. Eso falla en modelos de IA por varias razones: no son paquetes versionados sino blobs binarios; una bomba de pickle no es un CVE público sino un payload personalizado oculto dentro del archivo; y mientras el informe de dependencias sale limpio, un payload de RCE puede estar escondido en un contenedor o en un pipeline de CI.

Creé aisbom para cubrir ese hueco. Aisbom es una herramienta de código abierto CLI que realiza una Deep Binary Introspection sobre artefactos de IA. Sus capacidades clave son: descomprimir el artefacto y parsear estructuras PyTorch y SafeTensors en memoria sin cargar los pesos pesados; desensamblar el flujo de bytecode de pickle usando pickletools; y detectar referencias peligrosas a globals como os.system, subprocess, eval y socket para marcar riesgos críticos.

Puedes comprobar modelos ahora mismo con comandos sencillos. Instala la CLI con pip install aisbom-cli y luego ejecuta aisbom scan ./mi-modelos o la carpeta donde almacenes tus modelos. El escaneo devuelve una evaluación de riesgo por archivo indicando framework y nivel de riesgo, por ejemplo un archivo bert_finetune.pt puede aparecer como CRITICAL con RCE detectado mientras que safe_model.st puede aparecer como LOW si utiliza SafeTensors.

SafeTensors es el futuro porque define un formato seguro basado en encabezados JSON que evita la serialización ejecutable, pero existen millones de archivos .pt legados y los desarrolladores siguen descargándolos. Mientras la migración no sea total necesitamos cortafuegos y análisis profundo en la cadena de suministro de IA. Por eso puse aisbom en abierto, para que la seguridad en la supply chain de IA no sea una caja negra.

En Q2BSTUDIO entendemos estos riesgos y ofrecemos servicios integrales para empresas que desarrollan e integran modelos de IA. Somos una empresa de desarrollo de software especializada en aplicaciones a medida y software a medida, con experiencia en inteligencia artificial, ciberseguridad y servicios cloud AWS y Azure. Ofrecemos auditorías de modelos, pentesting para pipelines de ML y consultoría para migrar a formatos seguros como SafeTensors. Si buscas potenciar tus proyectos con agentes IA, IA para empresas, servicios de inteligencia de negocio o Power BI, nuestro equipo puede ayudar a diseñar soluciones robustas y seguras.

Para proyectos que requieren integración segura de modelos y arquitectura a medida visita nuestros servicios de inteligencia artificial y para evaluaciones de seguridad y pruebas de intrusión revisa nuestros servicios de ciberseguridad y pentesting. También trabajamos con servicios de inteligencia de negocio y Power BI para transformar datos en decisiones operativas y ofrecemos implantaciones en servicios cloud AWS y Azure para entornos escalables y protegidos.

Si quieres que evaluemos tu parque de modelos, diseñemos una estrategia de migración a formatos seguros o construyamos una aplicación a medida que incluya controles de seguridad para IA, contacta con Q2BSTUDIO. Protejamos la cadena de valor de la IA con análisis binario profundo, automatización de procesos seguros y prácticas de desarrollo que reduzcan la superficie de ataque sin frenar la innovación.