Hugging Face 開源機器人平台 LeRobot 爆重大漏洞，恐遭攻擊者遠端執行程式碼

Hugging Face 開源的 LeRobot 是供開發者訓練、部署與控制 AI 機器人的平台，PolicyServer 則負責接收推論與控制請求。此次 CVE-2026-25874 涉及可連接實體設備的核心服務，若遭利用，不僅可能危及 AI 系統資料，也可能影響機器人運作安全。

2026 年揭露的 CVE-2026-25874 被列為重大等級漏洞，源於 PolicyServer 處理資料時的不安全反序列化。未經身分驗證的攻擊者可透過 gRPC 呼叫傳送惡意酬載，進而遠端執行任意程式碼；截至 2026 年 7 月 20 日仍無修補程式，用戶應限制服務對外連線並加強存取控管。