Hugging Face corrige une faille dans Diffusers

OOndine

Hugging Face publie Diffusers 0.42.1, une mise à jour de sécurité qui corrige la résolution du nom de bibliothèque déclaré pour les composants chargés avec `from_pretrained`, selon GitHub. Cette correction vise à empêcher un contournement de `trust_remote_code` pendant le chargement. Le nom de bibliothèque associé à un composant est ainsi vérifié au moment où Diffusers le résout, afin que cette étape ne permette pas de contourner la protection du code distant. Le correctif s’applique à 3 chemins de chargement : `DiffusionPipeline`, `AutoModel` et `ModularPipeline`. La correction couvre donc ces 3 mécanismes, et pas seulement un seul chemin de chargement. Elle concerne les composants chargés par chacun d’eux, lorsque le nom de bibliothèque déclaré doit être résolu. Diffusers 0.42.1 ajoute aussi un message d’erreur plus explicite si la classe déclarée est introuvable dans le module résolu. L’erreur précise davantage le problème rencontré : le module a été résolu, mais la classe attendue n’y figure pas. Hugging Face recommande aux utilisateurs de Diffusers 0.42.0 de passer à la version 0.42.1. Pour les utilisateurs de cette version précédente, le point à retenir est donc une mise à jour qui corrige la résolution des bibliothèques sur les 3 chemins de chargement et précise le message affiché lorsque la classe déclarée est absente.