Zafran Labs beschreibt die drei Schwachstellen als Umgehung von „trust_remote_code“, einer Sicherheitsfunktion in Diffusers. Dieser Parameter steuert, ob benutzerdefinierter Python-Code aus einem Modell-Repository während des Ladens per „from_pretrained()“ ausgeführt werden darf. Ist er auf „True“ gesetzt, wird die Ausführung erlaubt; bei „False“ oder wenn der Parameter weggelassen wird, soll ungeprüfter Code blockiert werden.

Nach Darstellung der Forscher liegt die eigentliche Ursache aller Varianten der Remotecodeausführung darin, dass die Vertrauensprüfung ausschließlich in der ersten Phase des Ladevorgangs stattfindet. Dadurch könne jede Methode, bei der der Lader benutzerdefinierten Code sieht, den die Schutzprüfung zuvor nicht erfasst hat, den Mechanismus umgehen.

Technisch führt Zafran die einzelnen Varianten auf Time-of-Check-to-Time-of-Use-Probleme zurück. Demnach ist der Modelldownload als zwei aufeinanderfolgende, nicht atomare HTTP-Anfragen aufgebaut und nicht als ein einziger atomarer Vorgang. Die Sicherheitsprüfung von „trust_remote_code“ greift den Angaben zufolge nur bei der ersten dieser beiden Anfragen. Genau daraus ergibt sich laut Analyse die Möglichkeit, die Schutzgrenze zu umgehen.

Diffusers ist eine Python-Bibliothek für vortrainierte Diffusionsmodelle der Spitzenklasse, die Videos, Bilder und Audio erzeugen können. Eine zentrale Funktion ist das lokale Laden eines Modells aus einem Repository im Hugging Face Hub über die API „DiffusionPipeline“. Dabei verwendet die Bibliothek eine Konfigurationsdatei, um bestimmte Pipeline- und Komponentenklassen sowie benutzerdefinierten Pipeline-Code zu initialisieren.

Die Bedeutung der Lücken ergibt sich auch aus der Verbreitung des Pakets. Laut den auf pepy.tech veröffentlichten Zahlen wurde Diffusers im Juli 2026 mehr als 8,1 Millionen Mal heruntergeladen. Im Quelltext wird Hugging Face als „GitHub des KI-Zeitalters“ beschrieben. Entsprechend weit reicht das mögliche Risiko, wenn eine Bibliothek wie Diffusers tief in Produktionsumgebungen, CI/CD-Abläufe und Container-Images integriert ist.

Nach einer verantwortungsvollen Offenlegung wurden die Schwachstellen in Diffusers Version 0.38.0 behoben, die Anfang Mai 2026 veröffentlicht wurde. Betroffen sind laut Quelle alle Nutzer, die „DiffusionPipeline.from_pretrained“ zusammen mit benutzerdefinierten Pipelines verwenden. Für Fälle, in denen ein sofortiges Update nicht möglich ist, haben die Projektverantwortlichen laut Quelltext zudem Übergangslösungen empfohlen.

Zafran Labs weist darauf hin, dass Artefakte aus KI-Repositories häufig wie passive Daten behandelt würden, obwohl Konfigurationsdateien, Loader und benutzerdefinierter Pipeline-Code unauffällig in ausführbaren Code übergehen können. Dadurch könne selbst ein routinemäßiger Modelldownload zum Einstiegspunkt für beliebige Codeausführung werden, wenn Sicherheitsgrenzen wie „trust_remote_code“ umgangen werden.