Hugging Face
iaDéfinition
Hugging Face est une plateforme collaborative et une entreprise américaine (fondée en 2016) spécialisée dans l'IA et le traitement automatique du langage naturel (NLP). Elle héberge le Hub Hugging Face, un dépôt public comptant plus de 900 000 modèles pré-entraînés, 200 000 datasets et 300 000 applications IA (Spaces), devenu le registre de référence mondial pour les modèles open source.
La bibliothèque phare, Transformers, fournit une API unifiée pour charger et utiliser des modèles de la famille BERT, GPT, LLaMA, Mistral, Falcon et dérivés, sous PyTorch ou TensorFlow.
Composants principaux
- Hub : registre de modèles, datasets et Spaces (applications déployées via Gradio ou Streamlit)
- Transformers : bibliothèque Python d'accès aux architectures Transformer (BERT, GPT-2, T5, LLaMA 3, Mistral…)
- Datasets : accès standardisé à des milliers de jeux de données d'entraînement
- Inference API : API serverless pour tester les modèles en quelques lignes
- Inference Endpoints : déploiement managé de modèles sur infrastructure dédiée
Risques de sécurité documentés
Le Hub Hugging Face est une cible active de la supply chain IA :
- Modèles malveillants : des acteurs ont uploadé des modèles
.safetensorsou.pklpiégés contenant des charges utiles de rétro-shell ou de vol de credentials (incidents 2024) - Pickles non sécurisés : le format
.bin(pickle Python) autorise l'exécution de code arbitraire à la désérialisation ; le format.safetensorsa été créé pour y remédier - Tokens d'accès exposés : les tokens Hugging Face (scope
write) présents dans les dépôts Git ou les images Docker permettent l'exfiltration ou l'empoisonnement de modèles partagés - Typosquatting de dépôts : noms de modèles imitant des organisations légitimes (meta-llama vs meta_llama)
Bonnes pratiques
Préférer les modèles au format .safetensors. Activer la validation de hash SHA-256 (hf_transfer) avant déploiement. Isoler le téléchargement de modèles dans un réseau coupé d'Internet. Auditer les permissions OAuth des tokens d'organisation.
Ce terme vous interpelle ?
Nos experts interviennent sur toutes les thématiques de ce glossaire — pentest, conformité NIS 2 / ISO 27001, forensics, sécurité IA. Réponse sous 24h, devis gratuit et sans engagement.