torch.load(hf_hub_download(...), weights_only=False) führt jeden Code aus, den der Besitzer dieses Repositorys in die Datei gepackt hat, und trust_remote_code=True ohne fixierte Revision führt den Python-Code aus, der am Tag Ihres Downloads im Repository liegt. Dieser Skill findet diese und acht weitere Fehler beim Laden von Modellen in Ihrem Python-Code und Ihren Notebooks, bevor sie ausgeführt werden, und erklärt Ihnen, wie Sie jeden einzelnen beheben.

Ihr Agent führt einen Scanner über .py-Dateien und die Codezellen von Jupyter-Notebooks aus (gemeldet an der Zeile im Notebook selbst, einschließlich Downloads per !wget und !curl sowie %pip-install-Zeilen). Er kennt die Standardwerte von torch.load (weights_only=True ab torch 2.6, vollständiges pickle vor 2.6 oder wenn ein pickle_module übergeben wird) und liest Requirements-Dateien, pyproject.toml, environment.yml und Lock-Dateien, um die torch-Version zu ermitteln. Er verfolgt einen Download innerhalb jeder Funktion über Variablen, with-Blöcke, Schleifen und daraus geschriebene Dateien, unterscheidet Ihre eigenen Checkpoints und die offiziellen Gewichts-Hosts von PyTorch (REVIEW) von heruntergeladenen oder hochgeladenen Dateien (BLOCK) und überspringt Kommentare und Docstrings. Er importiert, lädt oder startet niemals etwas. Er liefert BLOCK, REVIEW oder NOT FLAGGED, jeweils mit Datei, Zeile, Begründung und einem sichereren Vorgehen. Tokens und Passwörter werden nie ausgegeben.

Was geprüft wird

BLOCK (vor der Auslieferung beheben)

• M01: pickle, joblib, pandas.read_pickle, numpy allow_pickle, Keras safe_mode=False oder torch.load mit weights_only=False auf einer heruntergeladenen oder hochgeladenen Datei
• M02: trust_remote_code=True ohne auf einen Commit fixierte Revision
• M03: Modelldateien, die über unverschlüsseltes http von einem Host im Internet heruntergeladen werden
• M04: Hugging-Face-Tokens, die direkt in Code oder Notebooks stehen

REVIEW (vor dem Release prüfen)

• M11: dieselben unsicheren Ladefunktionen auf Dateien, die der Code nicht selbst herunterlädt, oder auf den offiziellen Gewichts-Hosts von PyTorch
• M12: Downloads vom Hugging Face Hub ohne Commit-Hash in revision
• M13: use_safetensors=False oder safe_serialization=False
• M14: torch.hub.load von einem nicht fixierten GitHub-Branch
• M15: torch auf eine Version unter 2.6 fixiert (CVE-2025-32434), in einer Abhängigkeitsdatei oder einer %pip-Zeile im Notebook, in einem Projekt, das torch.load aufruft
• M16: sicheres Laden für den gesamten Prozess abgeschaltet (TORCH_FORCE_NO_WEIGHTS_ONLY_LOAD, Keras enable_unsafe_deserialization)

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)
• Ein Regelleitfaden mit Begründung, sichererem Vorgehen und die offizielle Quelle für jede Regel
• Ein riskanter und ein sicherer Beispiel-Modelldienst sowie der echte Bericht, den der Scanner für den riskanten erzeugt

Grenzen

Er liest jede Datei so, wie sie geschrieben ist: Eine Datei gilt nur dann als heruntergeladen, wenn der Download in derselben Datei sichtbar ist. Als Funktionsargumente übergebene Pfade, Modellnamen aus Konfigurationsdateien, die installierte torch-Version, das Laden von Datensätzen, ONNX-, SavedModel- und GGUF-Dateien sowie Schwachstellen in anderen Paketen werden nicht geprüft. Notebooks über 1 MB werden als nicht geprüft aufgeführt. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 13 Dateien: SKILL.md, der Scanner in scripts/ (6 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (4 Beispieldateien plus report.md, die echte Ausgabe des Scanners für das riskante Beispiel).

So verwenden Sie es: Dies ist ein Agent-Skill: ein Ordner mit einer Datei SKILL.md und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten dann, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und nichts wird irgendwohin gesendet.