torch.load(hf_hub_download(...), weights_only=False) виконує будь-який код, який власник цього репозиторію поклав у файл, а trust_remote_code=True без закріпленої ревізії запускає той Python-код, що міститься в репозиторії на день завантаження. Ця навичка знаходить такі помилки та ще вісім інших помилок під час завантаження моделей у вашому коді на Python і блокнотах ще до їх запуску та підказує, як виправити кожну з них.

Ваш агент запускає сканер для файлів .py і комірок коду в блокнотах Jupyter (із зазначенням рядка в самому блокноті, зокрема завантаження через !wget і !curl та рядки %pip install). Сканер знає поведінку torch.load за замовчуванням (weights_only=True починаючи з torch 2.6, повний pickle до версії 2.6 або коли передано pickle_module) і визначає версію torch за файлами requirements, pyproject.toml, environment.yml та lock-файлами. Він відстежує завантажений файл через змінні, блоки with, цикли та файли, записані на його основі, в межах кожної функції, відрізняє ваші власні чекпойнти й офіційні хости ваг PyTorch (REVIEW) від завантажених з інтернету чи надісланих користувачами файлів (BLOCK), а також пропускає коментарі та docstring. Він ніколи нічого не імпортує, не завантажує і не запускає. Результат: BLOCK, REVIEW або NOT FLAGGED із зазначенням файлу, рядка, причини та безпечнішого підходу. Токени й паролі ніколи не виводяться.

Що перевіряється

BLOCK (виправити до випуску)

• M01: pickle, joblib, pandas.read_pickle, numpy allow_pickle, Keras safe_mode=False або torch.load з weights_only=False для завантаженого з інтернету чи надісланого користувачем файлу
• M02: trust_remote_code=True без ревізії, закріпленої на коміті
• M03: файли моделей, що завантажуються через звичайний http з хоста в інтернеті
• M04: токени Hugging Face, прописані в коді або блокнотах

REVIEW (перевірити перед релізом)

• M11: ті самі небезпечні завантажувачі для файлів, які код не завантажує сам, або для офіційних хостів ваг PyTorch
• M12: завантаження з Hugging Face Hub без хешу коміту в revision
• M13: use_safetensors=False або safe_serialization=False
• M14: torch.hub.load з незакріпленої гілки GitHub
• M15: torch, закріплений на версії нижче 2.6 (CVE-2025-32434), у файлі залежностей або в рядку %pip у блокноті, у проєкті, який викликає torch.load
• M16: безпечне завантаження, вимкнене для всього процесу (TORCH_FORCE_NO_WEIGHTS_ONLY_LOAD, Keras enable_unsafe_deserialization)

Що входить до комплекту

• Сканер (Python 3.9+, лише стандартна бібліотека)
• Посібник із правил: для кожного правила вказано причину, безпечніший підхід і офіційне джерело
• Ризикований і безпечний приклади сервісу моделей, а також справжній звіт, який сканер видає для ризикованого прикладу

Обмеження

Кожен файл аналізується в тому вигляді, у якому його написано: файл вважається завантаженим, лише якщо завантаження видно в цьому самому файлі. Шляхи, передані як аргументи функцій, назви моделей із конфігураційних файлів, встановлена версія torch, завантаження датасетів, файли ONNX, SavedModel і GGUF, а також вразливості в інших пакетах не перевіряються. Блокноти розміром понад 1 МБ позначаються як неперевірені. NOT FLAGGED не є гарантією.

Вміст

Один ZIP-файл, у ньому 13 файлів: SKILL.md, сканер у scripts/ (6 файлів Python), references/rules.md (кожне правило з причиною та безпечнішим підходом) і examples/ (4 файли з прикладами, а також report.md, справжній звіт сканера щодо ризикованого прикладу).

Як користуватися: Це навичка для ШІ-агента: тека з файлом SKILL.md і скриптами Python, які може запускати ШІ-агент для програмування, наприклад Claude Code, Cursor або Codex CLI. Розпакуйте архів у теку навичок вашого агента (для Claude Code: ~/.claude/skills/), а потім попросіть агента перевірити ваш проєкт. Скрипти також працюють самостійно з Python 3.9 або новішим, нічого встановлювати не потрібно. Вони лише читають ваші файли: жодного доступу до мережі, нічого нікуди не надсилається.