Transformers de Hugging Face écrit du code avant consentement

Le CERT Coordination Center (CERT/CC) américain a publié le 1er septembre 2026 un avis de sécurité décrivant une faille dans Hugging Face Transformers, la bibliothèque Python la plus utilisée au monde pour charger et exécuter des modèles d'intelligence artificielle. Référencée CVE-2026-80047, elle touche les versions 4.49.0 à 5.8.1 de la bibliothèque. Le portail japonais de vulnérabilités JVN (Japan Vulnerability Notes) a publié une information équivalente le même jour, relayée notamment par le média INTERNET Watch. À l'heure où ce texte est écrit, aucun correctif ni déclaration officielle de Hugging Face n'a été rendu public.

Hugging Face Transformers est la bibliothèque Python fournie par la plateforme Hugging Face pour charger des modèles d'IA pré-entraînés — traitement du langage, vision par ordinateur, audio, vidéo, systèmes multimodaux — et effectuer inférence ou ré-entraînement. Le CERT/CC la décrit comme l'un des cadres logiciels les plus répandus dans ce domaine, utilisé aussi bien pour l'entraînement que pour la mise en production de modèles.

Un fichier écrit avant même la question posée

La faille se situe dans la fonction GenerativePreTrainedModel.load_custom_generate(), qui permet à un modèle de fournir sa propre logique de génération. Cette fonction récupère le module distant via get_cached_module_file() et l'enregistre dans le cache local de l'utilisateur, sous ~/.cache/huggingface/modules — avant que la bibliothèque n'évalue le consentement de l'utilisateur via resolve_trust_remote_code(), le mécanisme trust_remote_code censé bloquer l'exécution de code non approuvé. Le CERT/CC précise que l'exécution du fichier reste, elle, correctement bloquée en cas de refus ; c'est l'écriture initiale sur le disque qui est inconditionnelle. La cause profonde est une copie de fichier sans condition dans dynamic_module_utils.py, un comportement qui diffère des autres mécanismes de chargement de code de la bibliothèque (AutoConfig, AutoModel, AutoTokenizer, AutoImageProcessor), qui vérifient tous le consentement avant de récupérer ou d'écrire quoi que ce soit.

• Même si l'utilisateur refuse l'exécution dans l'invite de confiance, le fichier reste présent dans le cache
• L'auteur d'un dépôt de modèle malveillant peut placer n'importe quel code Python dans custom_generate/generate.py
• Le simple chargement du modèle déclenche l'écriture, sans privilège particulier ni action supplémentaire de l'utilisateur
• Dans un environnement où le cache est réutilisé, un fichier malveillant déjà présent peut être exécuté par erreur lors d'un chargement ultérieur jugé fiable

Aucun correctif, une recommandation de contournement

La faille a été signalée par le chercheur en sécurité Prasanna Dabi. Le CERT/CC indique avoir notifié Hugging Face le 4 août 2026 ; au 1er septembre, date de publication de l'avis, l'entreprise n'avait fourni aucune déclaration — son statut de fournisseur est classé « Unknown » dans le dossier. En l'absence de correctif, le CERT/CC et le JVN recommandent d'éviter d'appeler load_custom_generate() sur des dépôts de modèles non fiables, et de vérifier régulièrement le contenu du répertoire ~/.cache/huggingface/modules pour supprimer tout fichier inattendu.

Le CERT/CC précise également que la copie initiale du fichier ne peut pas être annulée une fois effectuée : le mécanisme trust_remote_code bloque bien l'exécution du code si l'utilisateur refuse, mais rien ne supprime le fichier déjà écrit sur le disque. L'avis recommande par ailleurs, de façon plus générale, que toute vérification de type trust_remote_code intervienne avant toute récupération ou écriture de contenu distant — une exigence de conception que la fonction incriminée ne respecte pas actuellement. Le code source de la bibliothèque est public sur GitHub, où le dépôt huggingface/transformers reste, pour l'instant, le seul canal officiel pour suivre l'avancée d'un correctif.

L'avis liste le chercheur en sécurité Prasanna Dabi comme rapporteur de la faille, et l'analyste du CERT/CC Bob Kemerer comme rédacteur du document. Moins d'un mois s'est écoulé entre la notification privée de Hugging Face, le 4 août, et la publication de l'avis, le 1er septembre — un délai durant lequel l'entreprise n'a apporté aucune réponse, selon le calendrier de divulgation coordonnée publié par le CERT/CC.

Le CERT/CC est rattaché au Software Engineering Institute de l'université Carnegie Mellon et fonctionne avec le soutien de la Cybersecurity and Infrastructure Security Agency (CISA), l'agence fédérale américaine de cybersécurité.

La vérification via trust_remote_code fonctionne correctement pour bloquer l'exécution, mais l'écriture initiale du fichier, elle, est inconditionnelle — un comportement différent des autres chemins de chargement dynamique de la bibliothèque.

Ce que ça change pour une équipe française

Pour toute équipe française qui construit des pipelines d'IA autour de Hugging Face Transformers — startups, ESN, laboratoires de recherche ou grands groupes — cette faille est un point de contrôle immédiat plutôt qu'une alerte à ignorer. Il s'agit d'identifier tous les appels à load_custom_generate() dans le code et les CI/CD, de vérifier qu'aucun d'eux ne pointe vers un dépôt de modèle non maîtrisé, puis d'auditer le répertoire ~/.cache/huggingface/modules sur les postes de développement et les serveurs de build à la recherche de fichiers Python inconnus. En attendant un correctif officiel, figer la version de la bibliothèque utilisée en production et documenter la procédure de vérification du cache reste la mesure la plus sûre.