Hugging Face 與 TruffleHog 秘密掃描合作夥伴關係

Hugging Face 已與 Truffle Security 合作，將開源秘密掃描工具 TruffleHog 整合至其平台。此合作旨在防止在公共與私有倉庫中意外洩漏敏感資訊，如憑證、令牌與加密金鑰。

自動化安全掃描管線

Hugging Face 已擴充其自動化安全掃描管線，加入 TruffleHog 進行秘密掃描。平台現在對所有倉庫與提交執行三種不同類型的掃描：

• Malware Scanning: 使用 ClamAV 偵測已知惡意軟體簽名。
• Pickle Scanning: 使用 picklescan 來識別 pickle 檔案中的惡意可執行程式碼。
• Pickle Scanning: 使用 picklescan 來識別 pickle 檔案中的惡意可執行程式碼。
• Secret Scanning: 使用 TruffleHog 在每次推送至倉庫時，對每個新增或修改的檔案執行 trufflehog filesystem 指令。

當偵測到已驗證的秘密（即已確認可用於對其提供者進行驗證的秘密）時，Hugging Face 會透過電子郵件通知使用者。公司指出，未驗證的秘密仍可能構成威脅，因為驗證可能因提供者停機等技術原因失敗。

TruffleHog 中的原生 Hugging Face 掃描器

TruffleHog 現已加入對 Hugging Face 的原生整合，讓使用者與安全團隊能主動掃描自己的帳戶資料。此整合可掃描模型、資料集與 Spaces，以及相關的 Pull Requests（PR）與 Discussions。

掃描功能與限制

雖然原生掃描器可針對特定使用者、組織或個別模型、資料集與 Spaces 進行掃描，但目前不會掃描儲存在 Large File Storage（LFS）中的檔案。LFS 的支援正由 TruffleHog 團隊開發中。

使用指令

使用者可透過以下指令掃描其帳戶資料：

• User-level scan: trufflehog huggingface --user <username>
• Organization-level scan: trufflehog huggingface --org <orgname>
• Organization and User scan: trufflehog huggingface --user <username> --org <orgname>
• Targeted scans: 可使用 --model <model_id>、--dataset <dataset_id> 或 --space <space_id> 等特定旗標，針對特定資產進行掃描。

可加入可選旗標 --include-discussions 與 --include-prs，以掃描 Hugging Face 的討論與 PR 評論。

驗證可透過 --token 旗標或設定 HUGGINGFACE_TOKEN 環境變數來處理。