torch.load(hf_hub_download(...), weights_only=False) выполняет любой код, который владелец этого репозитория поместил в файл, а trust_remote_code=True без закрепленной ревизии запускает тот Python-код, который лежит в репозитории в день загрузки. Этот навык находит такие ошибки и еще восемь других ошибок при загрузке моделей в вашем коде на Python и блокнотах до того, как они будут выполнены, и подсказывает, как исправить каждую из них.

Ваш агент запускает сканер для файлов .py и ячеек кода в блокнотах Jupyter (с указанием строки в самом блокноте, включая загрузки через !wget и !curl и строки %pip install). Сканер знает поведение torch.load по умолчанию (weights_only=True начиная с torch 2.6, полный pickle до версии 2.6 или при передаче pickle_module) и определяет версию torch по файлам requirements, pyproject.toml, environment.yml и lock-файлам. Он отслеживает скачанный файл через переменные, блоки with, циклы и файлы, записанные на его основе, в пределах каждой функции, отличает ваши собственные чекпойнты и официальные хосты весов PyTorch (REVIEW) от скачанных или загруженных пользователями файлов (BLOCK), а также пропускает комментарии и docstring. Он никогда ничего не импортирует, не загружает и не запускает. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Токены и пароли никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• M01: pickle, joblib, pandas.read_pickle, numpy allow_pickle, Keras safe_mode=False или torch.load с weights_only=False для скачанного или загруженного пользователем файла
• M02: trust_remote_code=True без ревизии, закрепленной на коммите
• M03: файлы моделей, скачиваемые по обычному http с хоста в интернете
• M04: токены Hugging Face, прописанные в коде или блокнотах

REVIEW (проверить перед релизом)

• M11: те же небезопасные загрузчики для файлов, которые код не скачивает сам, или для официальных хостов весов PyTorch
• M12: загрузки с Hugging Face Hub без хеша коммита в revision
• M13: use_safetensors=False или safe_serialization=False
• M14: torch.hub.load из незакрепленной ветки GitHub
• M15: torch, закрепленный на версии ниже 2.6 (CVE-2025-32434), в файле зависимостей или в строке %pip в блокноте, в проекте, который вызывает torch.load
• M16: безопасная загрузка, отключенная для всего процесса (TORCH_FORCE_NO_WEIGHTS_ONLY_LOAD, Keras enable_unsafe_deserialization)

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)
• Руководство по правилам: для каждого правила указаны причина, более безопасный подход и официальный источник
• Рискованный и безопасный примеры сервиса моделей, а также реальный отчет, который сканер выдает для рискованного примера

Ограничения

Каждый файл анализируется в том виде, в каком он написан: файл считается скачанным, только если загрузка видна в этом же файле. Пути, переданные в качестве аргументов функций, имена моделей из конфигурационных файлов, установленная версия torch, загрузка датасетов, файлы ONNX, SavedModel и GGUF, а также уязвимости в других пакетах не проверяются. Блокноты размером более 1 МБ отмечаются как непроверенные. NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-файл, в нем 13 файлов: SKILL.md, сканер в scripts/ (6 файлов Python), references/rules.md (каждое правило с причиной и более безопасным подходом) и examples/ (4 файла с примерами, а также report.md, реальный отчет сканера по рискованному примеру).

Как использовать: Это навык для ИИ-агента: папка с файлом SKILL.md и скриптами на Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), а затем попросите агента проверить ваш проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: никакого доступа к сети, никуда ничего не отправляется.