Escáneres de modelos: leer una salida

Un escáner de artefactos de modelo no ejecuta el archivo: lo recorre y lista las referencias que el archivo pediría resolver al cargarse. Compara esas referencias con una lista de lo que es habitual en un archivo de pesos —reconstruir un tensor, crear un diccionario ordenado— y con reglas de lo que es peligroso. De ahí sale un resultado por archivo.

El error frecuente es leer el resumen del lote y no la fila. «Sin hallazgos» quiere decir que las reglas no encontraron nada de lo que buscan en un archivo que el escáner sí supo leer; no es un certificado de que el archivo sea inofensivo, porque una técnica que las reglas aún no conocen pasa igual. Y un archivo que el escáner no supo leer no tiene hallazgos por la sencilla razón de que nadie lo miró.

Las severidades del informe no son decoración: ordenan qué se mira primero y, en la mayoría de las políticas de admisión, una severidad crítica rechaza la solicitud sin más discusión. Crítica, en la guía de Pichindé, es una referencia que puede ejecutar código u órdenes del sistema en el momento de cargar el archivo. Recorre el informe del lote fila por fila y localiza a qué repositorio pertenece ese hallazgo.

En la fila del hallazgo, el escáner anota qué referencia encontró y cuándo se invocaría, y oculta los argumentos a propósito: a quien decide le basta saber que el archivo pide ejecutar algo al abrirse, no qué. Anotar la referencia exacta sirve para el informe y para avisar a quien responde incidentes, que puede buscar el mismo patrón en otros artefactos ya admitidos.

Un resumen de lote que dice «crítica 1» invita a pensar que lo demás está revisado. No es así si hay archivos omitidos: el escáner no los leyó porque no entiende su formato, porque son demasiado grandes o porque no analiza ese tipo de archivo. En los mensajes del día alguien da por bueno un repositorio que tiene justamente uno de esos. Cruza el informe con el mensaje de las 09:10.

Una referencia fuera de la lista permitida no es por fuerza maliciosa: puede ser una clase legítima de la biblioteca con la que se entrenó el modelo. Pero marcarla como falso positivo es una decisión con firma, que exige mirar qué hace esa clase y si el servicio necesita el archivo. A veces la respuesta más simple es otra: si el despliegue no lee el archivo, no hay nada que justificar, porque no entra.