c2.6 Importe modelos com segurança usando Safetensors, não pickle
Ao importar um modelo personalizado em outro lugar, use o formato de serialização Safetensors para que artefatos não confiáveis não possam executar código ao carregar.
Guia de implementação
Como implementar na AWS
Use o Custom Model Import do Amazon Bedrock com Safetensors como formato de serialização. Ao contrário do pickle, o Safetensors armazena apenas dados de tensores (sem objetos Python arbitrários), eliminando o risco de execução de código a partir de arquivos não confiáveis. Valide a procedência dos modelos importados.
Critérios de aceitação
Os modelos importados usam Safetensors; nenhum artefato baseado em pickle é aceito; a procedência do modelo é registrada.
Implementação prática
Como este controle é implementado em cada arquitetura de referência:
Os modelos importados entram pela conta de IA generativa apenas como Safetensors, com a procedência registrada e os artefatos pickle rejeitados antes de importar.
- Use o Custom Model Import do Amazon Bedrock e aceite apenas o formato de serialização Safetensors, que armazena tensores sem objetos Python executáveis.Conta de IA generativa
Amazon Bedrock - Rejeite os artefatos baseados em pickle no passo de ingestão e registre a procedência do modelo (origem, hash, quem aprova) antes de importar.Conta de IA generativa
Amazon S3 
IAM - Armazene os artefatos de importação aprovados em um bucket controlado e registre cada importação no Log archive.Conta de IA generativa → Log archive Amazon S3
CloudTrail
Como validar: Os modelos importados são Safetensors; um artefato pickle é rejeitado; a procedência é registrada e a importação é registrada.
Evite: Importar um checkpoint pickle de uma fonte não confiável. Desserializá-lo pode executar código arbitrário; exija Safetensors e verifique a procedência.
As importações de modelos na conta são restritas a Safetensors com procedência registrada, para que um artefato não confiável não possa executar código ao carregar.
- Use o Custom Model Import do Bedrock apenas com Safetensors; não aceite artefatos em formato pickle.Camada de IA generativa (papel IAM) Amazon Bedrock
- Registre a procedência (origem, hash, quem aprova) e armazene os artefatos aprovados em um bucket controlado.Camada de IA generativa (papel IAM) Amazon S3 IAM
- Registre cada importação no bucket de logs da conta.Registro na conta CloudTrail Amazon S3
Como validar: As importações são Safetensors; os artefatos pickle são rejeitados; a procedência é registrada e as importações são registradas.
Evite: Carregar checkpoints da comunidade em formato pickle diretamente. Converta para e exija Safetensors, e verifique de onde veio o modelo.
Ameaças atendidas
- Execução de código arbitrário ao desserializar (unpickle) um artefato de modelo não confiável.
- Comprometimento da cadeia de suprimentos por um modelo importado adulterado.
Serviços AWS
Amazon Bedrock Amazon S3 AWS IAM Mapeamentos de frameworks
OWASP GenAI/LLM Top 10 (2026)
- LLM04 Supply Chain
- LLM05 Data and Model Poisoning
NIST AI Risk Management Framework (AI 100-1)
- GOVERN.6 Policies for third-party software, data and supply chain risk
- MAP.4 Risks and impacts are mapped
- MANAGE.3 Third-party risks and benefits are managed
AWS Well-Architected Generative AI Lens (Security)
- GENSEC06-BP01 Implement data purification filters for model training workflows
Recursos de aprendizado
Referências
- AWS SRA para IA — Capacidade 2, Justificativa