Betroffen ist die Python-Bibliothek Diffusers, die vortrainierte Diffusionsmodelle lädt und ausführt. Beim Laden eines Modells über die Funktion zum Laden vortrainierter Pipelines soll die Option “trust_remote_code” verhindern, dass mitgelieferter, fremder Programmcode ausgeführt wird. Diese Schutzabfrage war jedoch an der falschen Stelle eingebaut – nämlich im Download-Schritt und nicht dort, wo der dynamische Code tatsächlich geladen wird. Jeder Ablauf, der den Download-Schritt umgeht oder abkürzt, umgeht damit auch die Sicherheitsprüfung. In der Folge wird fremder Code selbst dann ausgeführt, wenn Nutzer die Option ausdrücklich abgeschaltet haben oder – wie standardmäßig – gar nicht setzen. Das betrifft drei Varianten: die Angabe einer benutzerdefinierten Pipeline aus einem fremden Repository, bei der die Prüfung gegen das falsche Repository erfolgte, sowie das Laden aus einem lokalen Verzeichnis, bei dem die Prüfung komplett übersprungen wurde – auch dann, wenn das lokale Verzeichnis eigene Komponentendateien enthält, die in der Modellbeschreibung referenziert sind. Ein Angreifer kann so beliebigen Code auf dem Rechner des Opfers ausführen.