Ekosistem kecerdasan buatan (AI) saat ini tumbuh dengan pesat, didorong oleh kolaborasi dan berbagi model melalui platform seperti Hugging Face, yang saat ini menampung lebih dari 2,5 juta model . Namun, di balik kemudahan akses ini, terdapat ancaman keamanan yang signifikan namun sering diabaikan: Model Serialization Attack. Serangan ini adalah versi modern dari “Kuda Troya,” di mana kode berbahaya disembunyikan di dalam file model AI dan akan aktif ketika model tersebut dimuat .

Anatomi Serangan: Bagaimana File AI Berubah Menjadi Senjata

Inti permasalahan terletak pada proses serialisasi—cara model AI disimpan ke dalam file. Banyak kerangka kerja AI populer, terutama PyTorch, menggunakan modul Pickle dari Python sebagai format default untuk menyimpan dan memuat model .

Pickle dirancang untuk menyimpan objek Python apa pun, namun fleksibilitas ini menjadi celah keamanan yang fatal. Protokol Pickle bukan sekadar format data; ia bertindak seperti mesin virtual yang mengeksekusi instruksi (opcode) saat proses deserialisasi (pemuatan file) terjadi . Seorang penyerang dapat membuat file Pickle yang, saat dimuat dengan torch.load(PATH), akan langsung menjalankan kode berbahaya di sistem korban .

Bayangkan skenario ini: Anda mengunduh model dari Hugging Face yang terlihat menjanjikan. Saat menjalankan model = torch.load("model_baru.pt"), Anda tanpa sadar mengeksekusi kode yang mencuri kredensial cloud Anda atau membuka backdoor ke sistem Anda . Ini bukanlah teori; serangan semacam ini telah terdeteksi di dunia nyata .

Mengapa Serangan Ini Sangat Berbahaya?

Dampak dari serangan ini sangat luas dan dapat menghancurkan:

  • Pencurian Kredensial: Penyerang dapat mencuri kredensial untuk cloud (AWS, GCP) atau GitHub yang tersimpan di lingkungan Anda, yang mengarah pada pencurian kekayaan intelektual hingga pengambilalihan akun .

  • Pencurian dan Manipulasi Data: Data yang dikirim ke model atau data pelatihan dapat dicuri atau diracuni (data poisoning) untuk merusak hasil prediksi model .

  • Model Poisoning: Penyerang dapat mengubah perilaku model itu sendiri, memungkinkan penipuan atau membuat model tidak efektif .

  • Eksekusi Kode Jarak Jauh (RCE): Penyerang dapat memperoleh kendali penuh atas mesin korban, misalnya dengan membuka reverse shell .

Dilema Keamanan: Pickle vs. Solusi yang Lebih Aman

Meskipun bahaya Pickel sudah diketahui luas, penggunaannya masih dominan karena kemudahan dan efisiensi . Untuk mengatasi masalah ini, format yang lebih aman seperti SafeTensors diperkenalkan. SafeTensors dirancang untuk tidak mengeksekusi kode apa pun saat dimuat, menjadikannya pilihan yang jauh lebih aman .

Namun, adopsi SafeTensors menghadapi tantangan. Banyak pengembang menghadapi kesulitan dalam konversi dan masih ada kekhawatiran tentang kesetiaan model pasca-konversi . Ini menciptakan “jurang keamanan” di mana format lama yang tidak aman terus digunakan.

Perlombaan Senjata: Pemindai vs. Teknik Penghindaran

Karena risiko yang diketahui, berbagai alat pemindai seperti ModelScan (dari Protect AI) dan PickleScan dikembangkan untuk mendeteksi file Pickle berbahaya sebelum dimuat . Pemindai ini bekerja dengan membaca file byte per byte untuk mencari tanda-tanda kode tidak aman, tanpa harus mengeksekusinya .

Namun, ini adalah “perlombaan senjata” yang berkelanjutan. Peneliti keamanan terus menemukan cara untuk menghindari deteksi:

  1. Teknik NullifAI: Penyerang menggunakan file Pickle yang “rusak” yang akan gagal didekompilasi oleh pemindai tetapi tetap dapat dieksekusi oleh PyTorch .

  2. Eksploitasi Zero-Day pada Pemindai: Peneliti menemukan kerentanan kritis di PickleScan yang memungkinkan penyerang menyamarkan file berbahaya. Misalnya, dengan mengganti ekstensi file (CVE-2025-10155) atau menyisipkan kesalahan CRC pada arsip ZIP (CVE-2025-10156) .

  3. Exception-Oriented Programming (EOP): Penyerang dapat membuat payload yang memicu exception pada pemindai, menyebabkan proses pemindaian berhenti dan gagal mendeteksi kode jahat .

  4. Eksploitasi Gadget: Peneliti menemukan lebih dari 133 “gadget”—fungsi atau modul Python yang tidak berbahaya secara individual tetapi dapat digabungkan untuk melakukan aksi jahat—yang tidak terdeteksi oleh pemindai .

Penelitian terbaru menunjukkan bahwa lebih dari 98% file yang ditandai sebagai tidak aman oleh pemindai sebenarnya mungkin aman (false positive), sementara banyak file berbahaya berhasil lolos . Ini menunjukkan bahwa alat pemindai saat ini masih memiliki keterbatasan signifikan.

Praktik Terbaik untuk Tetap Aman

Menghadapi ancaman ini, diperlukan pendekatan berlapis (defense-in-depth) :

  1. Utamakan Format Aman: Gunakan SafeTensors sebagai format pilihan. Hindari memuat model Pickle dari sumber yang tidak tepercaya.

  2. Selalu Pindai Model: Jadikan pemindaian sebagai bagian wajib dari pipeline CI/CD Anda. Pindai model sebelum dimuat untuk pelatihan, setelah pelatihan selesai, dan sebelum diterapkan ke endpoint produksi .

  3. Gunakan Pemindai dengan Bijak: Meskipun tidak sempurna, alat seperti ModelScan adalah lapisan pertahanan penting yang dapat mendeteksi serangan yang sudah dikenal.

  4. Terapkan Kebijakan Keamanan: Di lingkungan enterprise, gunakan kebijakan (misalnya, dengan Rego) untuk secara otomatis memblokir model dari format berisiko tinggi atau model yang gagal dalam pemindaian .

  5. Tingkatkan Kewaspadaan: Ingat, file AI sama berbahayanya dengan file executable. Perlakukan semua model dari sumber tidak dikenal sebagai potensi ancaman 

Related Posts: