torch.load(hf_hub_download(...), weights_only=False) ejecuta cualquier código que el propietario de ese repositorio haya puesto en el archivo, y trust_remote_code=True sin una revisión fijada ejecuta el código Python que contenga el repositorio el día en que lo descargues. Esta habilidad detecta esos errores y otros ocho errores de carga de modelos en tu código Python y tus notebooks antes de que se ejecuten, y te explica cómo corregir cada uno.

Tu agente ejecuta un escáner sobre los archivos .py y las celdas de código de los notebooks de Jupyter (indicando la línea dentro del propio notebook, incluidas las descargas con !wget y !curl y las líneas %pip install). Conoce los valores por defecto de torch.load (weights_only=True a partir de torch 2.6, pickle completo antes de 2.6 o cuando se pasa un pickle_module) y lee los archivos requirements, pyproject.toml, environment.yml y los archivos lock para conocer la versión de torch. Sigue una descarga a través de variables, bloques with, bucles y archivos escritos a partir de ella dentro de cada función, distingue tus propios checkpoints y los hosts oficiales de pesos de PyTorch (REVIEW) de los archivos descargados o subidos (BLOCK), y omite comentarios y docstrings. Nunca importa, carga ni ejecuta nada. Devuelve BLOCK, REVIEW o NOT FLAGGED, con el archivo, la línea, el motivo y una alternativa más segura. Los tokens y las contraseñas nunca se muestran.

Qué comprueba

BLOCK (corregir antes de publicar)

• M01: pickle, joblib, pandas.read_pickle, numpy allow_pickle, Keras safe_mode=False o torch.load con weights_only=False sobre un archivo descargado o subido
• M02: trust_remote_code=True sin una revisión fijada a un commit
• M03: archivos de modelo descargados por http sin cifrar desde un host de internet
• M04: tokens de Hugging Face escritos en el código o en los notebooks

REVIEW (revisar antes del lanzamiento)

• M11: los mismos cargadores inseguros sobre archivos que el código no descarga por sí mismo, o sobre los hosts oficiales de pesos de PyTorch
• M12: descargas del Hugging Face Hub sin un hash de commit en revision
• M13: use_safetensors=False o safe_serialization=False
• M14: torch.hub.load desde una rama de GitHub sin fijar
• M15: torch fijado en una versión anterior a 2.6 (CVE-2025-32434), en un archivo de dependencias o en una línea %pip de un notebook, en un proyecto que llama a torch.load
• M16: carga segura desactivada para todo el proceso (TORCH_FORCE_NO_WEIGHTS_ONLY_LOAD, Keras enable_unsafe_deserialization)

Qué incluye

• El escáner (Python 3.9+, solo biblioteca estándar)
• Una guía de reglas con el motivo, una alternativa más segura y la fuente oficial de cada regla
• Un servicio de modelos de ejemplo con riesgos y otro seguro, y el informe real que genera el escáner sobre el de riesgo

Limitaciones

Lee cada archivo tal como está escrito: un archivo solo cuenta como descargado cuando la descarga es visible en el mismo archivo. No se comprueban las rutas pasadas como argumentos de funciones, los nombres de modelos de archivos de configuración, la versión de torch instalada, la carga de conjuntos de datos, los archivos ONNX, SavedModel y GGUF ni las vulnerabilidades de otros paquetes. Los notebooks de más de 1 MB se indican como no comprobados. NOT FLAGGED no es una garantía.

Contenido

Un archivo ZIP con 13 archivos: SKILL.md, el escáner en scripts/ (6 archivos de Python), references/rules.md (cada regla con su motivo y una alternativa más segura) y examples/ (4 archivos de ejemplo más report.md, la salida real del escáner sobre el ejemplo de riesgo).

Cómo usarlo: Es una habilidad (skill) para agentes: una carpeta con un archivo SKILL.md y scripts de Python que puede ejecutar un agente de programación con IA como Claude Code, Cursor o Codex CLI. Descomprímela en la carpeta de skills de tu agente (para Claude Code: ~/.claude/skills/) y después pide a tu agente que revise tu proyecto. Los scripts también funcionan por sí solos con Python 3.9 o posterior, sin instalar nada. Solo leen tus archivos: sin acceso a la red y sin enviar nada a ninguna parte.