safetensors
由Hugging Face推出的安全模型序列化格式，用于替代存在代码执行风险的pickle格式，可从根本上规避反序列化攻击，是AI模型文件存储的安全标准
核心事实
时间轴 (近 90 天)
当前多数SBOM工具链并不解析模型权重格式（如safetensors、GGUF），也缺乏对权重哈希与官方发布版本比对的标准流程，这使得被abliteration处理过的模型变体可以轻易绕过常规依赖审计。
safetensors 的 target 精度现在会独立于量化后的 draft 权重进行上报。
在safetensors导入过程中，MLX框架会为Flint组装ModelOpt专家库（expert banks）。
该版本在 safetensors 导入阶段组装 ModelOpt 专家库（expert banks），而非等到模型实例化之后处理。
使用 convert_huggingface_to_gguf.py 将 Gemma 2 2B 从 safetensors 转换为 f16 GGUF，实测耗时不到一分钟，输出文件约 5.2GB。
AREX-2 的 config.json 声明了 mtp_num_hidden_layers 为 1，但其 safetensors 权重索引中不包含任何以 mtp 为前缀的张量（0 个），而基础模型 Qwen3.8 的索引包含 15 个 mtp 张量。
safetensors 索引文件（通常命名为 model.safetensors.index.json）是 Hugging Face 生态中用于分片权重的清单，逐条列出每个张量的名称及其所在分片文件，反映实际存在的权重，是判断模型到底带了什么最可靠的依据。
企业应优先使用 safetensors 等安全格式，对模型文件做哈希校验，并只从可信来源下载权重。
Safetensors 是一种序列化容器，由一个 JSON 头部加上原始字节张量组成，不进行量化，只负责存储，通常承载 BF16 或 FP16 精度。
safetensors 可在 transformers、vLLM 原生环境、ComfyUI 以及 Apple 的 MLX 工具链中打开。
还有 21 条时间轴事件
全部知识事实 (20)
Qwen2.5:7B模型Q4量化后文件大小约为4GB
80%已验证.safetensors 是由 Hugging Face 推出的一种安全、高效的模型权重存储格式
65%已验证Python pickle格式在反序列化时可以执行任意代码，攻击者可以在模型文件中嵌入恶意代码
65%已验证SafeTensors采用简单的头部+数据结构，不包含可执行代码，解决了传统pickle格式反序列化时可能执行任意代码的安全风险
65%待验证配合Hugging Face Hub，Transformers建立了模型分发的事实标准，包括模型卡片（Model Card）、权重格式（safetensors）、配置文件等规范
85%待验证safetensors 的 target 精度现在会独立于量化后的 draft 权重进行上报。
70%待验证CAPABILITY 声明从 GGUF 或 safetensors 创建模型时、通过模型继承时、导出 Modelfile 时都会被保留
70%待验证当前多数SBOM工具链并不解析模型权重格式（如safetensors、GGUF），也缺乏对权重哈希与官方发布版本比对的标准流程，这使得被abliteration处理过的模型变体可以轻易绕过常规依赖审计。
50%待验证在safetensors导入过程中，MLX框架会为Flint组装ModelOpt专家库（expert banks）。
50%待验证该版本在 safetensors 导入阶段组装 ModelOpt 专家库（expert banks），而非等到模型实例化之后处理。
50%待验证AREX-2 的 config.json 声明了 mtp_num_hidden_layers 为 1，但其 safetensors 权重索引中不包含任何以 mtp 为前缀的张量（0 个），而基础模型 Qwen3.8 的索引包含 15 个 mtp 张量。
50%待验证safetensors 索引文件（通常命名为 model.safetensors.index.json）是 Hugging Face 生态中用于分片权重的清单，逐条列出每个张量的名称及其所在分片文件，反映实际存在的权重，是判断模型到底带了什么最可靠的依据。
50%待验证企业应优先使用 safetensors 等安全格式，对模型文件做哈希校验，并只从可信来源下载权重。
50%待验证GGUF 将量化作为默认选项，safetensors 将全精度作为默认选项，这个默认值就是格式选择决策的大部分。
50%待验证vLLM 通过其插件也能在 GPU 上读取 GGUF，但并非所有量化类型都被支持，某些情况下需要手动指定 --quantization 参数，且性能表现与原生 safetensors 路径可能存在差异；官方仍推荐 safetensors 作为 vLLM 的首选格式。
50%待验证Ollama 基于 GGUF 引擎构建，但仍然提供 MLX 运行器，以便 Apple Silicon 用户加载源自 safetensors 的权重。
50%待验证GGUF BF16 比 safetensors BF16 小约 20%，原因是 llama.cpp 对张量进行了更紧凑的序列化打包，而 safetensors 保留了训练框架原始的张量布局和 JSON 头部。
50%待验证格式选择由已运行的运行时决定：Ollama/LM Studio/llama-server 自动选定 GGUF，Python/transformers 流水线自动选定 safetensors，GPU 服务器上的 vLLM 原生支持 safetensors，ComfyUI 或图像流水线使用 safetensors。
50%待验证格式之间的转换是可能的，但几乎从不值得，因为每次转换都是权重可能悄然出现差异的新契机。
50%待验证Safetensors 是一种序列化容器，由一个 JSON 头部加上原始字节张量组成，不进行量化，只负责存储，通常承载 BF16 或 FP16 精度。
50%