Cato-Forscherin findet Sicherheitslücken in beliebten KI-Frameworks Schwachstellen in Nvidia NeMo und Meta PyTorch

Eine Sicherheitsforscherin von Cato Networks meldet Schwachstellen in Nvidia NeMo und Meta PyTorch, durch die das Laden manipulierter KI-Modelle zur Remote Code Execution und zum Abgriff von Geheimnissen führen kann. Ein Fix ist für NeMo ab Version 2.6.1 verfügbar, für PyTorch gibt es keinen Patch, aber Workarounds.

Eine Sicherheitsforscherin von Cato Networks berichtet, zwei Schwachstellen in den KI-Frameworks von Nvidia und Meta entdeckt zu haben. Bei den Framewoks handelt es sich um und Metas PyTorch und das darauf basierende NeMo von Nvidia. Während für das in Letzterem bestehende Problem eine CVE-ID vergeben wurde, habe Meta den von Cato gemeldeten Fehler als „out of scope“ eingestuft und nicht weiter verfolgt.

Slopsquatting

So nutzen Angreifer Halluzinationen von KI-Modellen für Angriffe

Die NeMo-Schwachstelle

Beide Frameworks laden bei Missbrauch manipulierte KI-Modelle. Dies ist gefährlich, da viele Unternehmen KI-Modelle häufig aus öffentlichen Repositories wie HuggingFace direkt in Um­gebungen mit Zugriff auf Cloud-Zugangsdaten, Data Lakes und Produktionsinfrastruktur laden. Das Risiko aufgrund der Schwachstellen in NeMo und PyTorch ist Cato zufolge, dass Angreifer damit Remote Code ausführen können.

Die Nvidia-Schwachstelle betrifft ein verbreitetes Framework zum Trainieren und Anpassen großer Sprachmodelle in Unternehmensumgebungen. Das Kernproblem liege in der Be­hand­lung eines Pa­ra­meters namens „trust_remote_code“. Normalerweise kontrolliere dieser Pa­ra­meter, ob Python-Code, der in einem KI-Modell-Repository enthalten ist, während der Import ausgeführt wird. Der Standard sollte „False“ sein, doch NeMo habe diesen Pa­ra­me­ter in mehr­er­en Model-Importern auf „True“ gesetzt. Das bedeutet laut der Analystin Inga Cherny, dass beim Import eines Modells von HuggingFace automatisch beliebiger Python-Code aus dem Re­posi­to­ry ausgeführt wird, ohne dass der Benutzer darauf hingewiesen wird.

Ein Angreifer könne ein HuggingFace-Repository erstellen, das wie ein legitimes KI-Modell aussehe, aber zusätzlich Python-Dateien mit versteckten Schadcode-Payloads enthalte. Beim Import würde NeMo diese Dateien automatisch ausführen, wodurch der Angreifer Zugriff auf Umgebungsvariablen, Cloud-Credentials und API-Schlüssel erhalten würden. Die Angreifer hätten mehrere Möglichkeiten, um Opfer zum Import eines solchen Modells zu bewegen: Durch Typosquatting könnten sie beispielsweise ein Repository „meta-1lama“, mit der Ziffer 1„)“, statt „meta-llama“, mit Buchstabe „l“, registrieren. Alternativ seien sie in der Lage, über Social En­gineering auf Plattformen wie Reddit oder Discord ein vermeintlich verbessertes Modell zu teilen oder bereits kompromittierte Entwickler-Accounts zu missbrauchen und bösartige Up­dates in bestehende, vertrauenswürdige Repositories zu pushen.

Nachdem Cato die Schwachstelle eigenen Angaben am 10. September 2025 gemeldet hat, erhielt sie am 17. Februar 2026 die IDs EUVD-2025-207811 beziehungs­weise CVE-2025-33236. Sie wurde mit einem CVSS-Score von 7.8 eingestuft. Zum jetzigen Zeitpunkt besteht ein geringer EPSS-Score^* von 0.02 Prozent. Die Schwachstelle betrifft alle Versionen vor 2.6.1 des NeMo-Frameworks, Nutzer sollten schnellstmöglich Version 2.6.1 oder jünger installieren. Die ak­tu­ellste Version ist 2.7.3.

Kontext entscheidet über Wert von KI-Tools mehr als Funktionalität

Drei Kriterien für die Auswahl des passenden KI-Security-Tools

Die PyTorch-Schwachstelle

Die Meta PyTorch-Schwachstelle betrifft das dominierende Machine-Learning-Framework für KI-Modellentwicklung von Meta. PyTorch speichert KI-Modelle im Python-pickle-Format, wel­ches ausführbaren Code in Datendateien einbetten kann. Die Risiken der Pickle-De­seriali­sier­ung, wie Remote-Code-Ausführung beim Laden manipulierter Modelle und Diebstahl sensibler Geheimnisse durch Kompromittierung der Umgebung, sind lange bekannt, weshalb die In­dus­trie den Parameter „weights_only=True“ als Sicherheitsmechanismus entwickelt hat. Diese Ein­stellung soll beschränken, welche Python-Klassen während des Ladens deserialisiert wer­den kön­nen. Sie wird laut Cherny als Best Practice empfohlen.

Allerdings haben die Cybersecurity-Experten von Cato festgestellt, dass dieser Schutz­me­cha­nis­mus umgangen werden könne. Das Problem liege in einer fehlenden Validierung. „weights_only=True“ überprüfe zwar die Pickle-Klassen, validiere aber nicht die Tensor-Größen gegenüber den tatsächlichen Daten. Ein Angreifer könne eine „.pt“-Datei so manipulieren, dass die Pickle-Metadaten einen großen Tensor-Umfang behaupten, während die tatsächliche Datei winzig ist. PyTorch vertraue der behaupteten Größe, weise einen zu kleinen Buffer zu und schaf­fe damit einen klassischen Heap-Buffer-Overflow. Das Kritische dabei sei, dass auch Or­ga­ni­sa­tio­nen, die jede Best Practice befolgen, also Checksummen verifizieren, Quellen überprüfen und „weights_only=True“ aktivieren, dennoch anfällig bleiben würden.

Cato habe die Schwachstelle am 22. Dezember 2025 entdeckt und am 23. Dezember 2025 an das Sicherheitsteam von Meta PyTorch gemeldet. Am 29. Januar 2026 sei die Meldung vom Anbieter als „out of scope“ geschlossen worden. Dies bedeutet, dass Meta den Fund als außerhalb des Gel­tungsbereichs seines Bug-Bounty-Programms einstuft und ihn daher über diesen Kanal nicht behebt oder dafür eine Prämie ausschüttet.

OWASP LLM Security Top 10

Die größten KI-Risiken – und wichtigsten Schutzmaßnahmen

Schutzmaßnahmen

Cato behandelt Metas Einstufung nicht als Entwarnung, sondern als Anlass, macht die Sicher­heitslücke trotzdem publik, um Kunden und Anwender zu warnen. Außerdem stellt Cato einige Schutzmaßnahmen bereit. Nutzer sollten...

• sicherstellen, dass alle AI/ML-Frameworks auf die neuesten, vom Anbieter gepatchten Versionen aktualisiert sind,

• die Verwendung von „trust_remote_code=True“ vermeiden,

• nicht davon ausgehen, dass „weights_only=True“ ausreicht, sondern auf Upstream-Patches achten und diese unverzüglich anwenden,

• Safetensors gegenüber Pickle-basierten Formaten bevorzugen und

• KI-Modelle in Sandbox-Umgebungen laden. Sie sollten niemals nicht vertrauenswürdige KI-Modelle auf Systemen laden, die über Produktionszugangsdaten verfügen.

„Da der Austausch von Modellen immer rasanter voranschreitet und KI-Pipelines zunehmend zu kritischer Infrastruktur avancieren, wird diese Angriffsfläche weiter wachsen“, schließt Cherny ihren Bericht. „Die Branche benötigt hier denselben Grad an Sorgfalt, wie sie ihn bereits für traditionelle Software-Lieferketten etabliert hat: digitale Signaturen, Verifikation, Her­kunfts­nachweise, Sandboxing und – vor allem – Konfigurationen, die standardmäßig auf Sicherheit ausgelegt sind.“

* Hinweis zum EPSS-Score: Das Exploit Prediction Scoring System zeigt die Wahrscheinlichkeit in Prozent an, mit der eine Schwachstelle innerhalb der nächsten 30 Tage ausgenutzt wird. Der ent­sprechende Score kann sich im Laufe der Zeit verändern. Sofern nicht anders angegeben, beziehen wir uns auf den Stand des EPSS-Scores zum Zeitpunkt der Veröffentlichung des Artikels.

Sicherheitspraktiken für Softwareentwicklung mit KI-Hilfe

KI-Tools in der Entwicklung schaffen neue Angriffsflächen

(ID:50832234)