Betroffen ist InstructLab, ein Werkzeug zum Trainieren und Anpassen von Sprachmodellen. Beim Laden von Modellen aus dem HuggingFace-Hub setzt das Trainingsskript fest voraus, dass im Modell mitgeliefertem Fremdcode vertraut wird – die entsprechende Option ist fest einprogrammiert und lässt sich nicht abschalten. Dadurch wird beim Herunterladen oder Verarbeiten eines Modells Python-Code ausgeführt, der aus dem Modellpaket selbst stammt. Ein Angreifer kann ein präpariertes Modell im Hub veröffentlichen und einen Nutzer dazu bringen, es über die Trainings-, Download- oder Generierungsbefehle von InstructLab zu verwenden. Sobald das geschieht, läuft der eingeschleuste Code mit den Rechten des Nutzers auf dessen System. Es sind keine weiteren Schwachstellen nötig; die Täuschung des Anwenders genügt. In der Folge kann das betroffene System vollständig übernommen werden, inklusive Zugriff auf lokale Daten, Zugangsdaten und Trainingsumgebungen.