待验证50% 置信事实精确时间

Python的pickle模块在反序列化时会执行reduce方法中的代码，可被用于在模型文件中嵌入任意代码执行payload

1

来源数

50%

置信度

长期有效

时效性

2026/8/28

首次发现

来源

AI智能体失控事件深度复盘：安全防护为何集体失效

涉及实体

Pickletechnology Pythontechnology

相关事实

已验证Python pickle格式在反序列化时可以执行任意代码，攻击者可以在模型文件中嵌入恶意代码74% 相似待验证Python的pickle模块在反序列化时会执行任意Python代码，存在被构造恶意文件执行远程代码的安全隐患74% 相似待验证Python提供了decimal模块来处理精确的十进制运算70% 相似已验证Python使用强制缩进代替花括号来表示代码块69% 相似待验证Python 标准库的 dataclasses 模块使用 MISSING 哨兵，functools.reduce 内部实现也使用类似的哨兵机制68% 相似

引用此条事实

Stable URI

https://kongchang.com/claim/813589

API

curl https://kongchang.com/api/v1/knowledge/claims/813589

MCP

get_claim(id=813589)