Die Schwachstelle betrifft LMDeploy, ein Toolkit zum Komprimieren, Bereitstellen und Betreiben großer Sprachmodelle. An mehreren Stellen im Code, an denen Modelle aus dem HuggingFace-Ökosystem geladen werden, ist die Option fest einprogrammiert, die das Ausführen von im Modell mitgeliefertem Fremdcode erlaubt. Dadurch wird beim Laden eines Modells automatisch dessen eigener Programmcode ausgeführt, ohne dass die Betreiberin oder der Betreiber dem ausdrücklich zustimmen oder dies abschalten kann. Wer ein manipuliertes oder untergeschobenes Modell bereitstellt, kann auf diesem Weg beliebigen Code auf dem System ausführen, das das Modell lädt – also auf dem Server, auf dem die Sprachmodelle betrieben werden. Betroffen sind Umgebungen, die Modelle aus externen oder nicht vollständig vertrauenswürdigen Quellen beziehen. Zum Zeitpunkt der Veröffentlichung stand kein öffentlicher Patch zur Verfügung.