ModelScan源码架构解析ModelScan核心、Scanner、Middleware、Reports四层协作机制完全讲解【免费下载链接】modelscanProtection against Model Serialization Attacks项目地址: https://gitcode.com/gh_mirrors/mo/modelscanModelScan 是一款开源的机器学习模型安全扫描工具用于检测和防御模型序列化攻击。它通过静态读取模型文件字节流识别模型中嵌入的危险操作符如eval、exec、文件读写等而不会真正加载模型从而在 CI/CD 和 MLOps 流水线中保护你的 AI 资产。本文带你从源码层面拆解 ModelScan 核心ModelScan、Scanner 扫描器、Middleware 中间件、Reports 报告这四层组件的协作机制。先看懂威胁模型序列化攻击长什么样在本地加载一个恶意 PyTorch 模型时攻击代码会随torch.load()一起执行——模型文件就像一个特洛伊木马读取文件、写文件、窃取凭据都可以在加载瞬间完成。ModelScan 的防御思路非常直接不执行、只读字节像杀毒软件扫 PDF 一样逐字节查找危险代码签名既快速又安全。ModelScan源码目录结构一览克隆仓库后即可观察整体布局git clone https://gitcode.com/gh_mirrors/mo/modelscan核心代码全部位于modelscan/包内四层架构一一对应层目录/文件职责核心编排modelscan/modelscan.py遍历模型文件、调度扫描、汇总结果扫描器modelscan/scanners/按模型格式实现具体检测逻辑中间件modelscan/middlewares/扫描前的预处理管道如格式识别报告modelscan/reports.py控制台/JSON 等结果输出配置modelscan/settings.py注册全部组件的默认配置第一层ModelScan核心——扫描流程的总指挥ModelScan 类是整个系统的入口。构造函数只做一件事按配置DEFAULT_SETTINGS加载 Scanners 和 Middlewares 两个组件清单。真正的调度发生在scan()方法中流程分三步遍历模型_iterate_models()递归遍历目录下的所有文件逐个包装成Model对象modelscan/model.py 中的上下文管理器封装文件流与附加上下文预处理对每个Model运行self._middleware_pipeline.run(model)中间件可改写模型上下文扫描_scan_source()依次调用每个 Scanner收集issues问题、errors错误、skipped跳过三类结果。两个值得注意的设计细节自动解包 ZIP 类容器遇到.zip、.npz等压缩包会自动展开内部文件逐个扫描zipfile.ZipFile逐条打开但嵌套压缩包会记录NestedZipError并跳过这是出于安全考虑——嵌套结构是常见的逃逸手法Scanner 故障隔离任何一个扫描器抛异常都会被捕获为ModelScanScannerError记入错误列表continue继续执行其余扫描器单点故障不会拖垮整个扫描。第二层Scanner扫描器——按模型格式分工所有扫描器继承自 ScanBase 抽象基类约定统一的接口name()、full_name()和scan(model) - ScanResults。ScanResults是扫描器的标准产物固定包含三个列表issues、errors、skipped。内置扫描器按模型格式分目录组织modelscan/scanners/pickle/scan.pyPickle 家族.pkl、.joblib、.pt、.pth等检查os.system、__import__等危险全局调用modelscan/scanners/saved_model/scan.pyTensorFlow SavedModel.pb检测ReadFile、WriteFile等不安全 TF 算子modelscan/scanners/h5/scan.py 与 modelscan/scanners/keras/scan.pyKeras H5/keras3 格式的 Lambda 层代码检测。每个扫描器返回None表示这个格式我不负责只有返回ScanResults才计入已扫描——这让多个扫描器可以无脑并行尝试同一个文件。第三层Middleware中间件——洋葱式预处理管道middlewares/middleware.py 定义了两个关键类型MiddlewareBase要求实现__call__(model, call_next)即处理模型 → 调call_next(model)进入下一层是经典的洋葱模型MiddlewarePipelinefrom_settings()按配置动态导入中间件类并排队run()用递归runner(model, index)逐层传递。内置的 FormatViaExtensionMiddleware 展示了中间件的典型用法按文件扩展名如.pb→ tensorflow、.npy→ numpy向Model写入formats上下文供下游扫描器使用。中间件不直接产出安全问题只负责扫描前加工与 Scanner 职责清晰分离。第四层Reports报告——扫描结果的出口reports.py 中的Report抽象基类约定静态方法generate(scan, settings)两个内置实现ConsoleReport按严重度分组打印问题明细、错误列表与跳过文件用rich渲染无问题时输出 No issues found! JSONReport调用核心的_generate_results()序列化完整报告支持--output-file落盘方便接入 CI 系统。报告模块通过配置里的模块路径字符串如modelscan.reports.ConsoleReport被importlib动态加载因此换成第三方报告类无需改动任何核心代码——这是贯穿 Scanner、Middleware、Report 三层的同一套插件化思想。配置驱动settings.py如何把四层串起来settings.py 中的DEFAULT_SETTINGS是一张组件注册表scanners注册 7 个扫描器每项含enabled开关与supported_extensionsmiddlewares注册格式识别中间件及其扩展名映射unsafe_globals危险全局函数名单按 CRITICAL/HIGH 分级如os、subprocess全量禁用eval/exec点名单禁用Pickle 扫描器据此定级reporting指定报告模块与参数。运行modelscan create-settings-file即可导出 TOML 配置模板自定义后通过--settings-file传入。CLI 层 modelscan/cli.py 还定义了 0~4 五个退出码发现漏洞为 1、扫描出错为 2是流水线集成时的信号契约。四层协作机制全景一次完整扫描的数据流如下配置层DEFAULT_SETTINGS声明有哪些组件、谁启用核心层ModelScan.scan()遍历文件、解包容器中间件层MiddlewarePipeline.run()为模型打上格式标签扫描器层各Scanner.scan()静态分析字节流产出Issue按 issues.py 中 LOW→CRITICAL 四级严重度定级报告层generate_report()汇总summary、issues、errors、skipped输出报告。总结这套架构值得学习的地方插件化Scanner、Middleware、Report 全部以模块路径字符串 动态导入注册新增格式支持只需实现一个抽象类并在配置中登记故障隔离单扫描器异常、坏 ZIP、不支持的文件各有独立的错误/跳过通道扫描永不中途崩溃静态安全全程只读字节流、绝不 import 模型内容工具自身不会被扫出的恶意代码反噬CI 友好明确的退出码 JSON 报告天然适配流水线卡点。如果你想深入可以继续阅读 tests/test_modelscan.py 中的端到端用例或参考 docs/model_serialization_attacks.md 了解各类序列化攻击的实现细节动手扩展属于自己的第一个 Scanner。【免费下载链接】modelscanProtection against Model Serialization Attacks项目地址: https://gitcode.com/gh_mirrors/mo/modelscan创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考 ModelScan源码架构解析：ModelScan核心、Scanner、Middleware、Reports四层协作机制完全讲解
ModelScan源码架构解析ModelScan核心、Scanner、Middleware、Reports四层协作机制完全讲解【免费下载链接】modelscanProtection against Model Serialization Attacks项目地址: https://gitcode.com/gh_mirrors/mo/modelscanModelScan 是一款开源的机器学习模型安全扫描工具用于检测和防御模型序列化攻击。它通过静态读取模型文件字节流识别模型中嵌入的危险操作符如eval、exec、文件读写等而不会真正加载模型从而在 CI/CD 和 MLOps 流水线中保护你的 AI 资产。本文带你从源码层面拆解 ModelScan 核心ModelScan、Scanner 扫描器、Middleware 中间件、Reports 报告这四层组件的协作机制。先看懂威胁模型序列化攻击长什么样在本地加载一个恶意 PyTorch 模型时攻击代码会随torch.load()一起执行——模型文件就像一个特洛伊木马读取文件、写文件、窃取凭据都可以在加载瞬间完成。ModelScan 的防御思路非常直接不执行、只读字节像杀毒软件扫 PDF 一样逐字节查找危险代码签名既快速又安全。ModelScan源码目录结构一览克隆仓库后即可观察整体布局git clone https://gitcode.com/gh_mirrors/mo/modelscan核心代码全部位于modelscan/包内四层架构一一对应层目录/文件职责核心编排modelscan/modelscan.py遍历模型文件、调度扫描、汇总结果扫描器modelscan/scanners/按模型格式实现具体检测逻辑中间件modelscan/middlewares/扫描前的预处理管道如格式识别报告modelscan/reports.py控制台/JSON 等结果输出配置modelscan/settings.py注册全部组件的默认配置第一层ModelScan核心——扫描流程的总指挥ModelScan 类是整个系统的入口。构造函数只做一件事按配置DEFAULT_SETTINGS加载 Scanners 和 Middlewares 两个组件清单。真正的调度发生在scan()方法中流程分三步遍历模型_iterate_models()递归遍历目录下的所有文件逐个包装成Model对象modelscan/model.py 中的上下文管理器封装文件流与附加上下文预处理对每个Model运行self._middleware_pipeline.run(model)中间件可改写模型上下文扫描_scan_source()依次调用每个 Scanner收集issues问题、errors错误、skipped跳过三类结果。两个值得注意的设计细节自动解包 ZIP 类容器遇到.zip、.npz等压缩包会自动展开内部文件逐个扫描zipfile.ZipFile逐条打开但嵌套压缩包会记录NestedZipError并跳过这是出于安全考虑——嵌套结构是常见的逃逸手法Scanner 故障隔离任何一个扫描器抛异常都会被捕获为ModelScanScannerError记入错误列表continue继续执行其余扫描器单点故障不会拖垮整个扫描。第二层Scanner扫描器——按模型格式分工所有扫描器继承自 ScanBase 抽象基类约定统一的接口name()、full_name()和scan(model) - ScanResults。ScanResults是扫描器的标准产物固定包含三个列表issues、errors、skipped。内置扫描器按模型格式分目录组织modelscan/scanners/pickle/scan.pyPickle 家族.pkl、.joblib、.pt、.pth等检查os.system、__import__等危险全局调用modelscan/scanners/saved_model/scan.pyTensorFlow SavedModel.pb检测ReadFile、WriteFile等不安全 TF 算子modelscan/scanners/h5/scan.py 与 modelscan/scanners/keras/scan.pyKeras H5/keras3 格式的 Lambda 层代码检测。每个扫描器返回None表示这个格式我不负责只有返回ScanResults才计入已扫描——这让多个扫描器可以无脑并行尝试同一个文件。第三层Middleware中间件——洋葱式预处理管道middlewares/middleware.py 定义了两个关键类型MiddlewareBase要求实现__call__(model, call_next)即处理模型 → 调call_next(model)进入下一层是经典的洋葱模型MiddlewarePipelinefrom_settings()按配置动态导入中间件类并排队run()用递归runner(model, index)逐层传递。内置的 FormatViaExtensionMiddleware 展示了中间件的典型用法按文件扩展名如.pb→ tensorflow、.npy→ numpy向Model写入formats上下文供下游扫描器使用。中间件不直接产出安全问题只负责扫描前加工与 Scanner 职责清晰分离。第四层Reports报告——扫描结果的出口reports.py 中的Report抽象基类约定静态方法generate(scan, settings)两个内置实现ConsoleReport按严重度分组打印问题明细、错误列表与跳过文件用rich渲染无问题时输出 No issues found! JSONReport调用核心的_generate_results()序列化完整报告支持--output-file落盘方便接入 CI 系统。报告模块通过配置里的模块路径字符串如modelscan.reports.ConsoleReport被importlib动态加载因此换成第三方报告类无需改动任何核心代码——这是贯穿 Scanner、Middleware、Report 三层的同一套插件化思想。配置驱动settings.py如何把四层串起来settings.py 中的DEFAULT_SETTINGS是一张组件注册表scanners注册 7 个扫描器每项含enabled开关与supported_extensionsmiddlewares注册格式识别中间件及其扩展名映射unsafe_globals危险全局函数名单按 CRITICAL/HIGH 分级如os、subprocess全量禁用eval/exec点名单禁用Pickle 扫描器据此定级reporting指定报告模块与参数。运行modelscan create-settings-file即可导出 TOML 配置模板自定义后通过--settings-file传入。CLI 层 modelscan/cli.py 还定义了 0~4 五个退出码发现漏洞为 1、扫描出错为 2是流水线集成时的信号契约。四层协作机制全景一次完整扫描的数据流如下配置层DEFAULT_SETTINGS声明有哪些组件、谁启用核心层ModelScan.scan()遍历文件、解包容器中间件层MiddlewarePipeline.run()为模型打上格式标签扫描器层各Scanner.scan()静态分析字节流产出Issue按 issues.py 中 LOW→CRITICAL 四级严重度定级报告层generate_report()汇总summary、issues、errors、skipped输出报告。总结这套架构值得学习的地方插件化Scanner、Middleware、Report 全部以模块路径字符串 动态导入注册新增格式支持只需实现一个抽象类并在配置中登记故障隔离单扫描器异常、坏 ZIP、不支持的文件各有独立的错误/跳过通道扫描永不中途崩溃静态安全全程只读字节流、绝不 import 模型内容工具自身不会被扫出的恶意代码反噬CI 友好明确的退出码 JSON 报告天然适配流水线卡点。如果你想深入可以继续阅读 tests/test_modelscan.py 中的端到端用例或参考 docs/model_serialization_attacks.md 了解各类序列化攻击的实现细节动手扩展属于自己的第一个 Scanner。【免费下载链接】modelscanProtection against Model Serialization Attacks项目地址: https://gitcode.com/gh_mirrors/mo/modelscan创作声明：本文部分内容由AI辅助生成（AIGC），仅供参考