Qué contiene un artefacto de modelo

Cuando alguien dice «descargamos el modelo», casi nunca baja un único archivo. Un repositorio de modelo trae los pesos —a veces partidos en varias piezas y a veces repetidos en dos formatos—, un archivo de configuración que describe la arquitectura, el vocabulario y las reglas del tokenizador, parámetros de generación, una ficha escrita por quien lo publica y, con frecuencia, restos del entrenamiento que nadie necesita para usarlo. Algunos repositorios traen además código: clases de modelo o de tokenizador escritas por el publicador.

Cada pieza responde a una pregunta distinta de seguridad. Los archivos de datos puros solo pueden estar mal; los que guardan objetos serializados o código pueden hacer algo al abrirse. Por eso el inventario se hace por archivo y por su formato real, no por el nombre del repositorio, y se anota cuáles necesita de verdad el servicio que lo va a usar.

El archivo de configuración no es solo una lista de tamaños. Puede indicarle al cargador que, para construir el modelo, use una clase definida en un archivo de código del propio repositorio en lugar de una arquitectura que el cargador ya conoce. Si el servicio arranca con permiso para ejecutar código remoto, ese archivo se importa y se ejecuta en el servidor, con los permisos del servicio, cada vez que el modelo se carga.

Es una puerta distinta de la del formato de los pesos: aquí no hace falta ningún archivo serializado, basta con que la configuración apunte a código y que el permiso esté encendido. Lee el extracto de la configuración de credito-resumen-3b y localiza la clave que manda al cargador al código del repositorio.

El formato real de un archivo se sabe leyendo sus primeros bytes, no su extensión. Un archivo de solo tensores guarda una cabecera con nombres y tamaños y después los números; abrirlo no puede disparar nada. En cambio, un pickle reconstruye objetos llamando a funciones que el propio archivo nombra, y la documentación oficial de Python advierte que deserializar datos que no son de confianza puede ejecutar código arbitrario. Los archivos de pesos clásicos de PyTorch son un zip que lleva un pickle dentro, y el código fuente, si el cargador lo importa, se ejecuta tal cual.

Con la columna de formato detectado delante, cuenta los archivos de la copia que, por su formato, pueden ejecutar código al abrirse o al importarse.

El inventario sirve para decidir. Si los mismos pesos vienen en un formato de solo tensores y en un formato que ejecuta código, y el servicio solo lee el primero, el segundo no aporta nada y sí añade riesgo. Lo mismo pasa con los restos del entrenamiento: nadie los necesita para usar el modelo. El código del publicador es otro caso: si el servicio depende de él, hay que leerlo y aprobarlo como cualquier código de terceros, o sustituirlo por una arquitectura que el cargador ya soporte sin permiso de código remoto.