Hugging Face защитила ядра нейросетей подписью кода: подмена модуля больше невозможна

Hugging Face, крупнейшая открытая платформа для работы с нейросетями, за последние месяцы фактически переработала проект Kernels. Об обновлениях компания рассказала в блоге. Ядра (kernels, скомпилированные модули, которые ускоряют вычисления для нейросетей на GPU) раньше существовали как обычные файлы внутри репозиториев моделей. Теперь это самостоятельный тип репозитория со своей страницей, фильтрами по ускорителям, операционным системам и версиям бэкендов.

Что изменилось в Kernels?

• Отдельный тип репозитория. Ядра получили собственную категорию на Hub. Теперь можно видеть, какие ускорители и ОС поддерживает конкретное ядро, и отслеживать тренды по ядрам, моделям и приложениям. Все доступные ядра собраны на странице huggingface.co/kernels.

• Доверенные издатели (trusted publishers). По умолчанию пакет kernels загружает ядра только от организаций, которым сообщество доверяет. Загрузить ядро от стороннего автора можно, но придётся явно указать параметр trust_remote_code=True. Публиковать ядра тоже нельзя без заявки: каждый запрос рассматривается вручную.

• Подпись кода через Sigstore. Ядро подписывается эфемерным (временным, действующим ограниченный срок) закрытым ключом. Даже если злоумышленник получит доступ к учётной записи издателя на Hub, он не сможет подписать подменённое ядро. Дополнительно проверяется, что ядро собрано доверенным рабочим процессом из доверенного репозитория на GitHub.

• Воспроизводимость через Nix. Сборки изолированы, а хеш исходного кода (Git SHA1) встраивается в само ядро. Любой разработчик может пересобрать ядро и убедиться, что оно совпадает с опубликованным.

• Разделение CLI. Утилиты командной строки разнесены: kernels отвечает за загрузку и подготовку, kernel-builder за сборку. Оба инструмента стали компактнее.

• Поддержка новых фреймворков. Добавлена поддержка Torch Stable ABI (стабильный бинарный интерфейс PyTorch), который позволяет одному ядру работать с PyTorch 2.9 и всеми последующими версиями примерно два года. Также добавлена поддержка Apache TVM FFI, стандартизированного интерфейса, совместимого с PyTorch, Jax и CuPy одновременно.

• Основа для агентной разработки ядер. Связка kernel-builder и kernels поддерживает цикл, в котором ИИ-агент (программа, действующая автономно) может создать ядро, собрать, протестировать и итеративно оптимизировать его. Направление пока раннее, но инструменты уже готовы к встраиванию в любые агентные пайплайны.

Как попробовать?

1. Откройте каталог ядер: huggingface.co/kernels. Найдите ядро для нужного ускорителя и фреймворка.

2. Установите пакет kernels и загрузите ядро в коде. Для доверенного издателя достаточно одной строки: python from kernels import get_kernel kernel_module = get_kernel("имя_издателя/имя_ядра", version=1)

3. Если нужно ядро от стороннего автора, добавьте trust_remote_code=True, но предварительно проверьте исходный код и подпись командой kernels verify-signature.

4. Для настройки подписи собственных ядер изучите заметки к релизу 0.16.0: github.com/huggingface/kernels/releases/tag/v0.16.0.

Есть ли аналоги в России?

Прямого аналога Hugging Face Kernels в российском стеке нет. YandexGPT и GigaChat предоставляют API для инференса (исполнения запросов к модели), но не публичный реестр скомпилированных ядер с системой доверия. Российские разработчики, работающие с открытыми моделями нейросетей, чаще всего используют именно Hugging Face Hub как основную платформу. Обновления Kernels касаются их напрямую: любой, кто запускает модели локально на GPU, загружает ядра оттуда.

Что это значит для вас?

• Автору Дзена и копирайтеру. Если вы запускаете Hugging Face нейросеть локально для генерации текстов или изображений, система доверенных издателей защитит вашу машину от вредоносного кода. Ничего настраивать не нужно: защита работает по умолчанию.

• Разработчику и техническому специалисту. Появился повод проверить подписи ядер, которые вы уже используете, командой kernels verify-signature. Если вы публикуете собственные ядра, подайте заявку на статус доверенного издателя и настройте подпись через Sigstore по инструкции к версии 0.16.0.

• Предпринимателю в РФ и СНГ. Hugging Face Hub доступен из России. Если ваша команда строит продукт на открытых моделях, обновление снижает риск атаки через цепочку поставок, когда вредоносный код попадает не через модель, а через ускоряющее ядро.

Частые вопросы

Нужно ли платить за Kernels?

Нет. Проект полностью открытый и бесплатный. Исходный код доступен на GitHub, ядра публикуются и загружаются через Hugging Face Hub без подписки.

Что будет, если я загружу ядро от недоверенного издателя без параметра trust_remote_code?

Пакет kernels откажет в загрузке и выдаст ошибку. Это сделано намеренно: по умолчанию выполняется только код от проверенных организаций. Чтобы загрузить ядро от стороннего автора, добавьте trust_remote_code=True, но перед этим изучите исходный код и проверьте подпись.

Автоматическая проверка подписи уже работает?

Пока нет. Команда Hugging Face добавила инструмент kernels verify-signature для ручной проверки, но автоматическая валидация при загрузке ещё не включена. Разработчики хотят протестировать механизм шире, прежде чем сделать его обязательным.