Diffusers corrige un problème de sécurité

LLéna

Diffusers, l’outil de Hugging Face qui charge des composants avec `from_pretrained`, reçoit la version 0.42.1, une mise à jour de sécurité, selon GitHub. Elle corrige la façon dont le nom de la bibliothèque déclaré pour un composant est résolu au chargement. Cette correction vise à empêcher un contournement de `trust_remote_code`. Autrement dit, elle porte sur l’identification de la bibliothèque associée au composant, avant que celui-ci soit chargé. Le changement couvre 3 chemins : `DiffusionPipeline`, `AutoModel` et `ModularPipeline`. Ces mécanismes sont concernés lorsqu’ils chargent des composants avec `from_pretrained`. La mise à jour améliore aussi le message affiché si la classe déclarée ne se trouve pas dans le module résolu. L’erreur devient donc plus explicite dans ce cas précis. Il ne s’agit pas d’un changement annoncé pour d’autres étapes du chargement : les éléments publiés décrivent la résolution du nom de bibliothèque et ce message d’erreur. Concrètement, les utilisateurs de Diffusers qui passent par l’un de ces 3 chemins sont concernés par la correction. Hugging Face recommande aux personnes qui utilisent la version 0.42.0 de passer à la version 0.42.1. C’est la consigne pratique pour celles et ceux qui ont cette version installée. La mise à jour cible le contournement lié à `trust_remote_code` et améliore le signalement lorsque la classe déclarée est introuvable. La sortie de cette mise à jour a été publiée mardi.