Локально ≠ безопасно: supply-chain атаки на веса, LoRA и код архитектур
Саммари
Статья собирает воедино сценарии 2026 года, в которых скачанная локальная модель, LoRA-адаптер или код архитектуры оказывают вредоносное воздействие: скрытые триггеры в дообученной модели, бэкдоры в коде архитектуры, подаваемые на дообучение, backdoor'ы, проявляющиеся после квантования, и локальные ИИ-инструменты в инфраструктуре кибергрупп. Главный тезис: запуск модели на собственном железе гарантирует только место вычислений, но ничего не говорит о безопасности — «локально» описывает, где выполняются вычисления, тогда как безопасность зависит от того, какие данные и действия доступны модели, её коду и агентной оболочке.
Из этого следует, что триаж артефактов локального ИИ (модель, адаптер, код архитектуры, датасет) должен стать такой же процедурой, как проверка зависимостей в CI: у каждого — происхождение, версия и контрольная сумма, а «скачал с Hugging Face» не равен «доверяю».
На практике для агентных систем важнее всего граница исполнения: в эксперименте с Qwen модель только предложила вызов, а секреты ушли потому, Codex-оболочке было разрешено читать файлы и запускать скрипты — изоляция среды и egress-фильтр бьют по цепочке надёжнее, чем осторожность модели.
Важный нюанс: автор последовательно разделяет лабораторные эксперименты и подтверждённые инциденты (50/50 с триггером — контролируемый опыт, Kimsuky — «признаки подготовки»); для дайджеста это редкий пример честной классификации угроз по уровню доказанности.
Ограничение: обзор — синтез чужих исследований без собственного эксперимента автора; конкретные цифры (98% ASR, 67,91%) относятся к конфигурациям конкретных работ и не переносятся как гарантия на любой локальный запуск.