클린 검사부터 반입 결정까지 단일 아티팩트 추적
아래의 모든 아티팩트, 모델 이름 및 hf:// 소스 라벨은 고객 모델이나 검증된 레지스트리 기록이 아닌 합성 로컬 픽스처입니다. 처음 세 개의 스크린샷은 캐시된 Codex 권고를 통한 새로 구성된 검사를 캡처합니다. 별도의 벤치마크 캡처는 결정론적 권고를 사용합니다. 새로운 모델 추론은 표시되지 않습니다.
실행 사례: 클린 기준선, 차단된 데이터베이스 시도
생성된 trusted-looking/finetune-safe pickle은 역직렬화 중에 SQLite 데이터베이스 열기를 시도합니다. 해당 이름은 작성된 픽스처 라벨일 뿐 신뢰의 증거가 아닙니다. 유용한 질문은 스캐너 발견 사항과 관찰된 로딩 행동이 동일한 반입 결정을 뒷받침하는지 여부입니다.
구성된 결과
PickleScan: CLEAN. 관찰된 작업: sqlite3.connect, 시도 및 차단됨. 최종 판정: QUARANTINE. 서명: 없음.
1. 스캐너 및 정적 발견 사항을 분리하여 판독
PickleScan 1.0.4는 감염 플래그를 설정하지 않고 _sqlite3.connect 을(를) 의심스러운 항목으로 기록합니다. Crucible의 정적 역어셈블리 또한 해당 임포트된 콜러블을 유지하지만, 이는 구성된 위험 전역 항목 세트에는 포함되어 있지 않습니다. 따라서 표시된 NO CODE SURFACE 배지는 구성된 위험 전역 항목 일치가 없음을 의미할 뿐, 파일에 실행 가능한 콜러블이 포함되어 있지 않음을 의미하지는 않습니다.
| 검사 | 기록된 발견 사항 | 확인되는 사실 |
|---|---|---|
| PickleScan 기준선 | flagged: false; _sqlite3.connect [suspicious] | 이 기준선은 아티팩트에 플래그를 지정하지 않습니다. 무해한 로딩을 증명하지는 않습니다. |
| 정적 역어셈블리 | _sqlite3.connect 임포트 및 근사 콜러블에 포함됨, 구성된 위험 전역 항목 없음 | 구성된 차단 목록에 일치 항목이 없더라도 해당 콜러블은 확인 가능합니다. |
| 관찰된 로드 | sqlite3.connect , 상태: blocked: true; loaded: false | audit hook은 구성된 데이터베이스 열기 효과가 발생하기 전에 예외를 발생시킵니다. |
| 최종 게이트 | QUARANTINE; signature: null | 차단된 시도가 이 판정을 결정합니다. 서명은 발급되지 않습니다. |
2. 시도된 효과를 기준으로 경로 결정
새로운 Python 워커는 sqlite3.connect 에 도달하여 /tmp/vp_demo_persist/.store.db을(를) 호출합니다. CPython audit hook은 해당 작업을 기록하고 구성된 효과가 발생하기 전에 예외를 발생시킵니다. 클린 기준선 플래그와 관계없이 차단된 위험 이벤트가 관찰되었으므로 게이트는 QUARANTINE을 반환합니다. 이 증거는 데이터베이스가 생성되었거나 지속성이 성공했음을 보여주지 않습니다.
UI는 이 워커를 샌드박스라고 부릅니다. 구현된 경계는 운영체제 샌드박스, 컨테이너 격리 또는 네트워크 분리가 없는, 선택된 Python audit hook을 갖춘 하위 프로세스입니다. 프로덕션 반입 시스템에는 별도로 구축된 격리 경계가 필요합니다.
3. 결정을 아티팩트 및 기록과 결합하여 유지
다운로드 가능한 JSON 기록은 아티팩트 SHA-256을 정적 발견 사항, 기준선 결과, 시도된 호출, 게이트 사유, 최소 모델 인벤토리 및 로컬 해시 체인 필드와 연결합니다. 이 QUARANTINE 결과의 경우 서명 필드는 null입니다. 검토자는 권고 사항을 승인이나 완료된 레지스트리 작업으로 취급하지 않고 결정 증거를 검사할 수 있습니다.
해시는 검사된 아티팩트 바이트를 식별합니다. 로컬 체인은 기록 간의 일관성 검사를 지원하지만, 독립적인 보관이나 외부 앵커가 없으며 불변 아카이브가 아닙니다. 아래에 표시된 서명된 ALLOW 페이로드는 전체 증거 기록보다 더 좁은 필드 세트를 포함합니다.
조용한 로드는 조건부 발견 사항을 미해결 상태로 남겨둡니다
별도의 합성 acme/experimental-rl 픽스처는 정적 검사에서 builtins.eval 을(를) 포함합니다. 해당 조건부 분기는 이 환경에서 실행되지 않으며, 관찰된 로드에는 차단된 위험 이벤트가 기록되지 않습니다. 미해결된 정적 발견 사항으로 인해 서명 없이 REVIEW로 전송됩니다. 이 경로는 더 많은 증거의 필요성을 보존하며, 완료된 인간 조사를 나타내지 않습니다.
출처가 알 수 없음으로 유지되는 동안 ALLOW는 로컬 인벤토리에 서명합니다
생성된 acme/sentiment-mlp 가중치 딕셔너리는 클린 경로를 따릅니다. 차단된 위험 이벤트가 기록되지 않고 구성된 검사에서 ALLOW를 반환하며 Ed25519 서명이 발급됩니다. 인벤토리에는 아티팩트와 해시, 직렬화 형식, 추론된 프레임워크 및 선언된 소스가 명시됩니다. 학습 데이터 출처와 파인튜닝 이력은 UNKNOWN으로 유지됩니다.
서명은 로컬 개발 키를 기준으로 표준 모델 이름, 아티팩트 해시 및 최소한의 CycloneDX 형태 인벤토리 페이로드를 인증합니다. 모든 판정이나 전체 기록에 서명하지 않으며, 업스트림 이력을 채우거나, 학습 권리를 확립하거나, 임의의 모델이 안전함을 증명하지 않습니다. 표시된 규제 참조 텍스트는 검증된 준수가 아닌 구성된 픽스처 메타데이터입니다.
고정 세트 비교를 분모와 함께 확인
2026년 10월 6일의 고정된 직접 파이프라인 참조 실행 1건은 결정론적 권고, PickleScan 1.0.4, 임시 개발 키 및 임시 원장을 사용합니다. 생성된 33개의 아티팩트는 양성 8개, 악성 19개, 구축된 회피체 4개, 기권 픽스처 2개로 구성됩니다. 악성 및 회피체 비교는 두 열 모두에서 동일한 23개의 아티팩트를 집계합니다.
| 측정 항목 | 관찰된 결과 | 범위 |
|---|---|---|
| 악성 및 회피체 탐지 | 행동 탐지 23/23; PickleScan 19/23 | 동일한 23개 픽스처에서 기준선 감염 플래그와 비교한 차단 이벤트 탐지율입니다. |
| 구축된 회피체 | 행동 탐지 4/4; PickleScan 0/4 | 이러한 검사 간의 차이점을 설명하기 위해 설계된 4개의 픽스처입니다. |
| 양성 판정 | 0/8건에 ALLOW 이외의 판정 부여됨 | 8개의 양성 픽스처이며, 미지의 모델에 대한 오탐 추정치가 아닙니다. |
| ALLOW 서명 | 8/8건 발급 및 검증됨 | 검증에는 포함된 함수와 로컬 개발 키가 사용됩니다. |
| 기권 경로 | 2/2 REVIEW | 미해결 픽스처는 서명되지 않은 상태로 유지되며, 조사가 완료되지 않았습니다. |
| 예상 판정 및 로컬 체인 | 33/33 일치; 해시 링크 손상 없음 | 외부 앵커 없는 작성된 픽스처 기대치 및 로컬 일관성 검사입니다. |
아래 스크린샷은 결정론적 권고가 적용된 로컬 앱에서 별도로 완료된 HTTP/SSE 벤치마크 실행입니다. 동일한 고정 세트 비교와 33/33 예상 판정 일치를 보여줍니다. 위의 고정된 직접 파이프라인 참조 측정의 출처가 아니며, 표시된 타이밍은 해당 캡처된 실행에 속합니다.
이러한 구축된 픽스처 관찰은 미확인 모델에 대한 탐지율, 프로덕션 지연 시간 또는 침해 감소를 추정하지 않습니다. ALLOW는 관찰된 로드에 대해 구성된 검사의 결과를 설명할 뿐이며, 완벽한 모델 보안을 확립하지는 않습니다.
