2026-10-20 21:33:17 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

cover_image

模型供应链风险初探：依赖、演化、质量与风险传播的首次全景扫描

CodeWisdom

2026年6月6日 16:53
上海

在小说阅读器读本章

去阅读

1.研究背景：模型供应链正在成为

AI 时代新的风险入口

近年来，以 Hugging Face 为代表的模型权重开放平台的兴起，极大降低了开源模型的复用门槛。开发者可以直接基于已有模型进行微调、量化、合并，或通过 LoRA 等参数高效微调方式快速生成衍生模型。一个基础模型可以被成千上万个下游模型复用，而下游模型又可能进一步成为新的基础模型被再次复用，由此形成了复杂的、动态的、持续扩张的模型供应链。与传统软件供应链相比，模型供应链的风险更加隐蔽：软件复用通常以明确的包导入和版本约束为载体，而模型复用则往往伴随着权重继承、训练数据混入、行为迁移乃至安全对齐的改变。下游模型不仅复用了上游模型的能力，更可能在无意间继承其性能缺陷、许可证限制，乃至幻觉、越狱和提示注入等安全风险。这些风险往往随依赖关系的建立而悄然传递，难以被检测和溯源。

面对如此错综复杂的模型依赖图谱，当前学界对模型供应链的认识却仍停留在局部视角。已有研究分别关注过模型数量的爆炸式增长 [1,2]、Hugging Face模型文档（Model Cards）的质量 [3,4]、模型更新历史 [5]，以及特定类型的风险传播 [6,7,8]，但这些工作往往局限于单一维度或孤立场景，始终未能回答一个更根本的问题：在今天的开源模型生态中，模型如何相互依赖、如何随时间演化、模型文档是否可信。这些依赖演化关系与数据质量问题最终如何影响模型风险传播？

针对上述问题，复旦大学 CodeWisdom 团队的软件供应链安全小组围绕模型供应链风险治理展开了初步探索，构建了首个覆盖Hugging Face全平台的模型供应链图谱，并从风险视角开展了系统的实证分析。相关研究成果录用于 ICSE 2026 [9]。

研究对象：Hugging Face百万级模型与

五十余万条依赖关系

我们以Hugging Face上的全量开源模型为研究对象，爬取了截至2025 年 6 月 25日的1,817,398个开源模型的模型文档。随后解析模型卡中的依赖字段，抽取模型之间的衍生关系，最终识别出 540,838条模型依赖关系。我们将模型依赖定义为三元组：基础模型、衍生模型和依赖类型（即基础模型通过某种依赖类型产生了衍生模型）。其中，Hugging Face 原始支持的依赖类型包括 Quantize、Merge、Fine-Tune 和 Adapter。由于 Adapter 本质上是一种参数高效微调，我们将其归并到 Fine-Tune 中，最终聚焦三类主流依赖类型：Fine-Tune、Quantize和Merge。

从整体分布来看，约 68.9% 的模型是孤立模型，也就是没有在模型卡片中显式声明依赖关系；但这些孤立模型只贡献了约 12% 的下载量。相反，存在依赖关系的模型数量虽然只占约31.1%，却贡献了约88%的下载量。这说明真实用户高度集中在模型供应链中的“关键节点”上，少数被大量复用的基础模型决定了整个生态的稳定性和可信性。

表一模型任务与依赖类型的分布统计

在所有衍生模型中，微调是最主要的复用方式，占比约79.0%；量化模型占比约18.6%；合并模型占比约2.4%。如表一所示，从模型任务类型看，NLP模型在三类依赖类型中均占主导地位，尤其是在合并和量化关系中，NLP相关模型占比均超过90%。这种以NLP为核心的依赖结构意味着，一旦某个高度被复用的NLP基础模型存在安全隐患，其影响将沿依赖链向大量下游模型扩散。因此，大语言模型及文本生成模型是模型供应链风险治理中需优先关注的领域。

研究问题一：模型在供应链中如何被复用？

我们从三个递进层次分析模型的复用结构：依赖关系、依赖链和依赖簇。依赖关系刻画两个模型之间的单次复用操作；依赖链描述多个依赖关系串联形成的多跳路径；依赖簇则聚合以同一根模型为起点的全部衍生模型，呈现完整的模型家族视图。

表二头部模型的出入度

在依赖关系层面，基础模型的出度分布高度集中。如表二所示，Qwen/Qwen1.5-0.5B拥有32,497个下游衍生模型，是出度最高的基础模型。部分模型则通过多次合并积累了极高的入度，成为\"多源汇聚点\"。这些高出度和高入度模型分别是供应链的\"核心源\"与\"复杂汇点\"，一旦存在安全隐患，影响范围将极为广泛。

表三头部模型链的使用情况

在依赖链层面，我们识别出 1,008,871 条模型依赖链，平均链长为6，其中60.8%的链长度超过2。如表三所示，最长链甚至达到40跳。这说明模型复用并不是简单的一次性复用，而是大量存在多阶段、多操作的连续演化过程。一个模型今天可能只是下游产物，明天又可能成为新的上游模型。

表四头部模型簇的使用情况

在依赖簇层面，我们识别出25,184个模型簇。大多数模型簇较小，但少数头部基础模型形成了庞大的模型家族。如表四所示，前十大模型簇合计包含173,593个模型，约占所有关系模型的30.7%。这些大型簇主要由NLP基础模型驱动，也正是最需要持续监控和治理的关键区域。

核心发现：

模型供应链并不是松散的模型集合，而是由少数高影响力基础模型、深层依赖链和大型模型簇共同构成的复杂网络。治理模型供应链，须以高出度基础模型和大型簇根节点为优先对象，同时建立深链溯源机制以应对多跳风险传播。

研究问题二：模型供应链如何演化？

为刻画模型供应链的动态变化，我们在2025年3月12日至7月2日期间每周抓取一次Hugging Face快照，共17个快照，系统分析模型的新增、删除与更新行为。

在新增层面，平台平均每周新增27,311个模型，其中72.1%为孤立模型，27.9%为存在依赖关系的模型（即关系模型）。在新增的关系模型中，绝大多数为衍生模型，微调仍是驱动关系模型增长的主要操作。
在删除层面，平均每周有6,190个模型被删除，规模虽远小于新增，但其影响往往被低估。每周平均有127个被删除模型曾作为基础模型，直接导致299个下游模型失去可追溯的上游依赖，并扰动1,440条依赖链和78个模型簇。基础模型的删除会破坏下游的可追溯性，进而影响实验复现、许可证合规和安全审计。
在更新层面，通过commit记录我们发现145,445个模型（约8.0%）在观察窗口内发生过实质性更新，但仅有1,899个（约0.1%）在模型文档中使用newer\_version字段记录了版本变更。这意味着绝大多数更新对下游用户而言完全透明，即无法得知上游模型是否已变更，更无从判断变更是否引入了新的性能缺陷或安全隐患。

核心发现：

模型供应链正在高速扩张，但演化过程严重缺乏透明度。删除在上游静默地制造断链，更新在不通知下游的情况下改变模型行为，二者共同形成模型供应链的\"变更盲区\"。下游用户既难以感知上游的变化，也难以及时响应由此引发的风险。

研究问题三：模型元数据质量如何？

模型供应链的可信性，很大程度上依赖于模型文档元数据的完整性与准确性。我们聚焦风险影响最广的 text-generation 模型，从下载量前 10% 的 24,686 个高影响力模型中统计抽样 378 个，人工核查五类对安全与合规至关重要的字段：许可证、性能指标、提示模板、训练数据集、依赖关系。

在字段完整性层面，缺失问题十分普遍且后果严重。82.8% 的模型缺少性能指标，用户无从评估其是否满足精度或延迟要求；28.3% 的模型缺少许可证，下游用户面临无法判断商业可用性的合规风险；在需要提示模板的模型中，33.8% 未提供提示模板，用户可能因此误用模型或难以防御提示注入攻击；在理应声明训练数据集的模型中，76.8% 未给出来源，使数据偏差审计和隐私合规几乎无从开展。

依赖关系字段则呈现出独特的\"高精度、低召回\"问题。已声明的依赖关系正确率高达 97.2%，说明主动填写的开发者通常较为负责；然而，大量真实存在依赖关系的衍生模型根本没有声明依赖，导致召回率仅有 68.5%，这意味着约三分之一的衍生模型在供应链中完全\"隐形\"，无法被追踪或审计。

综合来看，378 个抽样模型中有 96.0% 至少存在一个关键字段缺失或错误，80.2% 至少存在两处问题，45.5% 存在三处及以上。这并非个别现象，而是系统性的质量缺失。

核心发现：

模型元数据并非可有可无的说明文档，而是供应链治理的基础设施。许可证缺失造成合规盲区，性能信息缺失妨碍选型决策，数据集信息缺失阻碍偏差与隐私审计，依赖关系缺失则直接切断了供应链的溯源脉络。元数据质量已成为模型供应链治理的底层瓶颈

研究问题四：风险如何沿着模型依赖链传播？

在风险分析方面，我们关注三类与大模型应用密切相关的风险指标：幻觉率、越狱成功率和提示注入成功率。我们选取105条高下载量的真实依赖关系，覆盖微调、量化和合并三类操作，并使用已有公开基准分别评估基础模型和衍生模型的风险差异。

（一）微调：SFT 可能放大提示注入风险，PEFT 更稳定

对于微调关系，我们进一步区分了全参数监督微调（SFT）、参数高效微调（PEFT）以及其他微调方式。如图一所示，SFT 的风险变化幅度最大，也最不稳定。虽然 SFT 在部分情况下会降低幻觉率，但它明显倾向于放大提示注入风险，提示注入成功率差值的中位数达到 0.22。相比之下，PEFT 对三类风险的影响整体更小，幻觉、越狱和提示注入风险大多围绕零附近变化。这说明在安全和稳定性优先的应用场景中，PEFT 可能是更稳妥的模型适配方式；而如果选择 SFT 追求任务性能提升，就需要额外进行风险评估和缓解。

图一微调操作下风险传播情况

（二）量化：低比特量化节省成本，但可能提高幻觉风险

对于量化关系，我们分析了基础模型及其 2-bit、4-bit、8-bit 量化版本的风险变化。从图二来看，8-bit 和 4-bit 量化模型通常与基础模型风险接近，而更激进的低比特量化，尤其是 2-bit，可能带来更明显的幻觉风险变化。这说明量化并不只是压缩模型大小的工程优化，它也可能改变模型行为。对于资源受限设备或高可靠性场景，开发者不能只关注显存占用和推理速度，还需要同时评估低比特量化对安全性和可靠性的影响。

图二量化操作下风险传播情况

（三）模型合并：风险不是简单平均，而可能向某个基础模型靠拢

对于模型合并关系，我们发现合并模型的风险表现并不是多个基础模型风险的简单平均。相反，如图三所示，合并后的模型往往会在某些风险维度上接近其中一个基础模型的极端值，呈现出“赢家通吃”或“输家拖累”的现象。这意味着开发者在进行模型合并时，不能仅仅查看每个基础模型的平均风险水平，也不能假设合并会自动中和风险。只要某个基础模型在幻觉、越狱或提示注入方面存在明显问题，合并结果就可能继承甚至表现出相近风险。因此，模型合并前后的独立风险评估非常必要。

图三模型合并操作下风险传播情况

研究启示：面向各方利益相关者的模型

供应链治理建议

我们不仅给出了大规模实证结果，也进一步提出了面向不同参与者的治理启示。

对于上游模型维护者，应当将模型视为整条供应树的根节点，而不仅是单个仓库。高出度基础模型需要更严格的版本管理、许可证声明、性能记录、风险评估和变更日志。一个基础模型的静默更新或删除，可能影响大量下游模型。
对于下游模型消费者，不能默认衍生模型继承了基础模型的全部优点，也不能默认风险保持不变。选择微调、量化或合并策略时，应同时考虑性能、成本、安全和可追溯性，并在发布前对幻觉、越狱和提示注入等风险进行测试。
对于模型平台设计者，应当进一步完善模型文档和依赖声明机制。例如，平台可以扩展依赖类型，支持剪枝、格式转换、蒸馏等真实存在的操作；引入模型物料清单（Model Bill of Materials），记录历史版本、许可证、依赖关系、性能指标和风险指标；同时建立类似 npm shrinkwrap 的依赖锁定机制，降低上游模型删除或静默更新对下游造成的影响。
对于研究者，未来可以围绕依赖关系自动恢复、风险传播预测、模型供应链治理指标、平台级监控工具等方向展开进一步研究。尤其是在依赖字段大量缺失的现实条件下，如何通过模型权重、结构、元数据和行为特征恢复真实依赖关系，将成为构建可信模型生态的重要基础。

总结

本研究首次在百万级规模上系统刻画了开源模型供应链的使用结构、演化规律、元数据质量与风险传播模式，揭示了一个高度集中、快速扩张却严重缺乏透明度的复杂依赖生态。复旦大学CodeWisdom团队的软件供应链安全小组将以此为起点，持续探索模型依赖关系的自动识别、供应链风险的量化建模、风险检测与缓解，以及面向大模型时代供应链治理规范与工具体系的构建，推动模型生态从\"能用\"走向\"可信、可审计、可治理\"。

参考文献

[1] Joel Castaño, et al. “Analyzing the evolution and maintenance of ml models on hugging face.” Proceedings of MSR 2024.

[2] Jason Jones, et al. “What do we know about Hugging Face? A systematic literature review and quantitative validation of qualitative claims.” Proceedings of ESEM 2024.

[3] Adhishree Kathikar, et al. “Assessing the vulnerabilities of the open-source artificial intelligence (ai) landscape: A large-scale analysis of the hugging face platform.” Proceedings of ISI 2023.

[4] Zhou Yang,et al. “Ecosystem of large language models for code.” ACM TOSEM 2024.

[5] Joel Castaño, et al.“How do machine learning models change?” arXiv preprint 2024.

[6] Pin-Yu Chen et al. “Safety Risks in Fine-Tuning Large Language Models”. Introduction to Foundation Models. Springer 2024.

[7] Zhen Sun, et al. “PEFTGuard: detecting backdoor attacks against parameter-efficient fine-tuning.” Proceedings of IEEE S&P 2025.

[8] Jinghuai Zhang, et al. “Badmerging: Backdoor attacks against model merging.” Proceedings of CCS 2024.

[9] Ziqian Chen, et al. “A First Look at Model Supply Chain: From the Risk Perspective.” Proceedings of ICSE 2026.