【Bug已解决】[serge] integration failure triage - 2026-06-29 解决方案一、现象长什么样serje 加载一个社区模型比如某个用自定义modeling_*.py实现的模型时升级 transformers 后启动即崩from transformers import AutoModelForCausalLM model AutoModelForCausalLM.from_pretrained(some-community/custom-model)报错ValueError: Loading some-community/custom-model requires you to execute the configuration file in the repo. Make sure you have read the code and you can evaluate your trust in the model. You can avoid this error by setting trust_remote_codeTrue.或者在某些版本下是ValueError: The repository some-community/custom-model contains custom code which must be executed to load. Pass trust_remote_codeTrue to load it.最迷惑的是老版本 transformers 默认允许执行远程代码或没这么严格serje 当年能直接加载升级后安全默认收紧必须显式trust_remote_codeTrue才让加载。serje 没传这个参数于是所有「自定义建模」的模型全挂。二、背景HuggingFace 上的模型有两种实现方式标准实现用 transformers 内置的模型类如LlamaForCausalLM只下载权重和 config不执行任何模型方代码安全。自定义实现remote code模型仓库里带了modeling_xxx.py/configuration_xxx.pytransformers 必须执行这些 Python 文件才能构建模型。执行陌生代码有安全风险可能含恶意逻辑。早期 transformers 对 remote code 相对宽松。后来因为安全考虑默认拒绝执行远程代码除非调用方显式传trust_remote_codeTrue等于「我看过代码、我信任它」。serje 这类集成层当年写的时候没这个要求直接from_pretrained(repo)就能加载自定义模型。升级后安全闸门一关所有自定义模型都触发ValueError。这不是模型坏了是「安全默认变了集成层没跟上」。三、根因根因一句话transformers 收紧了 remote code 的安全默认自定义建模的模型现在必须显式trust_remote_codeTrue才允许加载serje 集成层没传这个参数于是所有依赖远程代码的模型加载失败。三点展开安全默认收紧新版默认拒绝执行仓库里的modeling_*.py除非显式信任。集成层未传参serje 的from_pretrained调用没带trust_remote_code卡在门槛外。缺信任决策盲目加trust_remote_codeTrue虽能加载但若不加来源校验等于对任意仓库放行埋下安全隐患。不是模型问题是「安全契约」在集成层没对齐且需要权衡便利与安全。四、最小可运行复现不依赖真实模型模拟「安全默认收紧导致加载被拒」from dataclasses import dataclass from typing import Optional dataclass class FakeRepo: name: str uses_remote_code: bool False class FakeFromPretrained: def __init__(self, strict: bool True): self.strict strict # 新版默认 strictTrue def load(self, repo: FakeRepo, trust_remote_code: Optional[bool] None): if repo.uses_remote_code: if not self.strict: return floaded {repo.name} (legacy 宽松) if trust_remote_code is not True: raise ValueError( f加载 {repo.name} 需执行远程代码请显式 trust_remote_codeTrue ) return floaded {repo.name} (已信任) return floaded {repo.name} (标准实现) # 老版本strictFalse不传 trust 也能加载 legacy FakeFromPretrained(strictFalse) print(legacy.load(FakeRepo(custom, uses_remote_codeTrue))) # 成功 # 新版本strictTrue不传 trust 被拒 modern FakeFromPretrained(strictTrue) try: modern.load(FakeRepo(custom, uses_remote_codeTrue)) except ValueError as e: print(新版拒绝:, e) # 新版本显式 trust 通过 print(modern.load(FakeRepo(custom, uses_remote_codeTrue), trust_remote_codeTrue))跑出来新版不传trust_remote_code直接拒显式传True才过。这就是「升级后自定义模型挂」的精确复现。五、解决方案第一层最小直接修复最小修复对确实需要的自定义模型显式传trust_remote_codeTrue同时对模型来源做基本信任校验不盲目对所有仓库放行。from transformers import AutoModelForCausalLM, AutoTokenizer # 仅对「你审查过、信任的」仓库传 True TRUSTED_REPOS {some-community/custom-model, another-trusted/model} def load_trusted(repo_id: str): kwargs {} if repo_id in TRUSTED_REPOS: kwargs[trust_remote_code] True model AutoModelForCausalLM.from_pretrained(repo_id, **kwargs) tok AutoTokenizer.from_pretrained(repo_id, **kwargs) return model, tok # 标准实现无远程代码的模型不需要 trust照常加载 model, tok load_trusted(some-community/custom-model)要点只对审查过的仓库设trust_remote_codeTrue标准实现模型不传更安全。用白名单TRUSTED_REPOS管理信任避免「一刀切全 True」。若不确定仓库是否用远程代码先不带trust试被拒了再评估是否加入白名单。这一步单独就让「自定义模型加载失败」消失且不过度放开安全闸门。六、解决方案第二层结构性改进第一层是「在加载处加白名单」。但 serje 里多模型、多入口容易漏或重复。更稳的做法把「哪些仓库可信任远程代码」收敛成单一策略对象。from dataclasses import dataclass, field from typing import Set, Optional dataclass class SergeRemoteCodePolicy: serje 远程代码信任的单一策略。 # 显式信任的仓库白名单 trusted_repos: Set[str] field(default_factoryset) # 默认是否允许应为 False安全优先 default_trust: bool False def should_trust(self, repo_id: str) - bool: if repo_id in self.trusted_repos: return True return self.default_trust def load_kwargs(self, repo_id: str) - dict: if self.should_trust(repo_id): return {trust_remote_code: True} return {} def add_trusted(self, repo_id: str): self.trusted_repos.add(repo_id) def remove_trusted(self, repo_id: str): self.trusted_repos.discard(repo_id) # 用法 policy SergeRemoteCodePolicy() policy.add_trusted(some-community/custom-model) # 审查后加入 for repo in [some-community/custom-model, meta-llama/Llama-2-7b-hf]: kw policy.load_kwargs(repo) print(repo, -, kw) # AutoModelForCausalLM.from_pretrained(repo, **kw)结构收益单一策略信任白名单集中管理所有加载入口共用不再散落trust_remote_codeTrue。安全默认default_trustFalse未知仓库不盲目放行。可审计白名单即「已审查」清单安全评审时可逐条核对。七、解决方案第三层断言 / CI 守护写 pytest 守三条(1) 白名单内仓库拿到trust_remote_codeTrue(2) 白名单外默认不信任(3) 标准实现模型不需要 trust。import pytest from your_lib import SergeRemoteCodePolicy pytest.fixture def policy(): p SergeRemoteCodePolicy() p.add_trusted(trusted/model) return p def test_trusted_gets_flag(policy): assert policy.load_kwargs(trusted/model) {trust_remote_code: True} def test_untrusted_default_denied(policy): assert policy.load_kwargs(unknown/model) {} assert policy.should_trust(unknown/model) is False def test_standard_model_no_trust(policy): # 标准实现模型如 llama不应被要求 trust assert policy.load_kwargs(meta-llama/Llama-2-7b-hf) {} def test_remove_trusted_revokes(): p SergeRemoteCodePolicy() p.add_trusted(x/y) assert p.should_trust(x/y) is True p.remove_trusted(x/y) assert p.should_trust(x/y) is False def test_default_trust_is_false(): p SergeRemoteCodePolicy() assert p.default_trust is FalseCI 常驻跑这五条后任何「又对未知仓库盲目 trust」「白名单漏加」的回归都会立刻爆红。八、排查清单serje「自定义模型加载被拒」时按顺序查先确认报错是否含trust_remote_codeTrue/execute the configuration file——是的话定位远程代码安全默认。确认模型仓库是否真用了 remote code看仓库里有没有modeling_*.py/configuration_*.py。标准实现模型Llama/GPT2/BERT 等官方类不要传trust_remote_code避免不必要的风险。自定义模型先人工审查仓库代码确认无恶意逻辑再加入白名单并传trust_remote_codeTrue。用SergeRemoteCodePolicy统一管理信任绝不「全局默认 True」。升级 transformers 后重跑所有自定义模型加载冒烟确认白名单覆盖到位。安全评审定期复盘trusted_repos白名单移除不再使用/不再信任的仓库。九、小结serje 升级后「自定义模型加载被拒」根子是 transformers 收紧了远程代码安全默认自定义建模模型必须显式trust_remote_codeTrue才允许加载而集成层没传这个参数。修复三层次第一层对审查过的仓库显式传trust_remote_codeTrue、标准实现模型不传第二层用SergeRemoteCodePolicydataclass 把信任白名单收敛为单一策略、默认不信任第三层用 pytest 守「白名单内才 trust」「未知默认拒」「标准模型不需 trust」。工程启示远程代码执行是真实的安全边界集成层对待trust_remote_code必须「白名单 默认拒绝」绝不能为了方便全局设 True。安全默认收紧是好事集成层要做的不是绕过它而是把「我信任谁」这件事显式、可审计地管理起来。