Formatos seguros frente a formatos ejecutables

Un formato de solo tensores guarda una cabecera que dice cómo se llama cada tensor, de qué tipo es y dónde empieza y termina, y a continuación los bytes en crudo. Cargarlo es leer esa cabecera y copiar números a memoria: no hay ningún paso en el que el archivo pueda pedir que se llame a una función. Formatos de un solo archivo con metadatos y tensores, o el grafo de operadores de ONNX, siguen la misma idea de describir datos, aunque ONNX exige que los operadores personalizados que use estén instalados en el entorno.

Los formatos basados en pickle hacen lo contrario: el archivo describe qué objetos reconstruir y con qué funciones, y el cargador obedece. Algunas bibliotecas añaden un modo restringido —en PyTorch, cargar solo pesos con weights_only=True, que es el valor por defecto en las versiones recientes; en Keras, el modo seguro que impide deserializar capas lambda— que reduce lo que el archivo puede pedir. Son buenas barreras, pero dependen de que nadie las desactive.

La extensión de un archivo la pone quien lo guarda, y nada impide guardar un pickle con el nombre de un formato seguro. Una revisión que solo mira la extensión dará por buena una fila que no lo es; por eso el registro de Pichindé anota el formato detectado a partir de los primeros bytes. Compara la extensión del archivo de pesos de cada modelo con su formato detectado.

El riesgo real no depende solo del formato, sino de cómo se carga. Un archivo basado en pickle cargado en modo restringido a pesos queda acotado; el mismo archivo cargado sin restricción ejecuta lo que pida. Y un formato que siempre es pickle no tiene modo restringido que lo salve. Cruza las dos tablas y cuenta los modelos de producción que, con el formato detectado y la forma de carga que tienen hoy, pueden ejecutar código al abrirse.

Pasar un modelo a un formato seguro exige abrir una vez el archivo original, porque hay que leer sus pesos para escribirlos de nuevo. Esa única apertura es justo el momento de riesgo, así que se hace donde un archivo malicioso no pueda hacer daño: en la cuarentena, sin red de salida, sin credenciales ni datos de clientes. Después se comprueba que el modelo convertido da las mismas salidas que el original sobre un conjunto de prueba y se registra la huella del archivo nuevo.