Исследователи усомнились в подлинности 7,72 ТБ чекпоинта с меткой Anthropic на Hugging Face
Аудит тензоров показал, что часть «обученных» значений в репозитории объёмом 7,72 ТБ можно воспроизвести по именам тензоров — это нехарактерно для реально обученной модели. Карточка модели также требует включить выполнение стороннего кода, что создаёт отдельный риск безопасности.
В публичном репозитории Hugging Face под названием burner22/numbat лежит архив объёмом 7,72 ТБ, который в карточке модели описан как промежуточный чекпоинт нового обучающего прогона Anthropic класса Mythos. Загрузчик указал параметр около 14 трлн — это утверждение автора репозитория, а не официальное заявление Anthropic.
Пользователь Hugging Face FloxUnder опубликовал воспроизводимый тест: он хэшировал имя тензора, превращал часть хэша в seed для генератора псевдослучайных чисел, получал значения, применял фиксированное преобразование и округлял результат до нужной точности. Для 43 тензоров нормализации и свёртки этот метод точно воспроизвёл содержимое файлов — всего 730 368 значений. Независимую проверку провёл и ресурс The Hum: он сверил 12 288 значений другого тензора, прочитав около 40 КБ данных частичными запросами, и тоже получил полное совпадение. Когда исследователи подставили заведомо неверное имя тензора, совпадения не было — это исключает случайность результата.
Авторы аудита отмечают ограничения метода: точное совпадение в отдельных тензорах не проверяет все веса модели, часть параметров в некоторых архитектурах намеренно замораживают, а основной массив весов экспертов остался непроверенным. Тест не доказывает мотивы загрузчика, не подтверждает удаление репозитория и ничего не говорит о реальной работоспособности модели.
Отдельную тревогу вызывает параметр trust_remote_code=True в карточке модели — он разрешает выполнение стороннего кода из репозитория при загрузке. Ранее Cloud Security Alliance описывал три уязвимости в библиотеке Diffusers, позволявшие выполнять код даже при отключённом этом параметре; связанную уязвимость в Transformers (CVE-2026-4372) закрыли в версии 5.3.0.
Исследователи рекомендуют не включать trust_remote_code без проверки кода, использовать форматы весов без исполняемых инструкций, своевременно обновлять библиотеки и проверять крупные репозитории точечными запросами байтов вместо полной загрузки.
Источник
- themerkle.comHow a Tensor-Name Test Undermined the 7.72TB "Anthropic" Checkpoint on Hugging Face (The Merkle)
