在 Hugging Face Hub 的模型仓库中，当您看到 pickle 标签时，请不要将其视为普通的文件类型标记。Pickle 是一种基于操作码的序列化格式，在反序列化过程中，完全有可能导入模块、调用内置函数，甚至直接执行文件内携带的恶意代码。第一次检查这类文件时，切勿将绿色的 Safe 状态当作百分之百安全的保证。真正的目标，是先找到对应文件、理解 HF Picklescan 给出的导入结论，再决定是否继续信任该文件。
这里使用 Hugging Face 团队成员维护的公开测试仓库进行演示。全程仅通过 Hub 页面操作，既不下载也不反序列化测试文件。公开仓库无需登录即可访问，私有或受限仓库则需要相应的读取权限。请提前准备好目标仓库地址、需要核对的分支或修订版本，并确保浏览器能正常打开 Files and versions 页面，这就足够了。
先明确哪些文件在 Pickle 扫描范围内
入口位置：打开目标模型仓库，点击仓库名称下方的 Files and versions 进入。文件表格位于分支选择器和提交信息的下方。
主要操作：逐行查看文件名右侧的 pickle 标签，并将其与 Safe、Unsafe 状态对应起来。扫描范围不仅限于扩展名为 pkl 的文件，测试仓库中的 pytorch_model.bin 和 danger.dat 也带有 pickle 标签。
成功标志：您已将所有带 pickle 标签的文件都列出，并记住了当前所在的分支。红色的 Unsafe 意味着需要停下来仔细查看详情；灰绿色的 Safe 仅说明本次扫描未发现问题，并不代表该文件永远安全。
失败处理：如果只看到 Model card，说明尚未进入文件页面。如果文件旁边没有状态显示，可能是扫描仍在进行、处于排队状态，或者遇到了问题。稍等片刻后刷新当前修订版本再查看，不要将空白状态视为扫描通过。
此图首先应关注文件名右侧的 pickle 标签，它用来标识“哪些文件需要按照 Pickle 风险进行检查”；Safe 或 Unsafe 只是显示当前的扫描状态。这两类标签不能相互替代。
点开 Unsafe 文件，查看完整扫描面板
入口位置：在 Files and versions 的表格中，打开一个标有 Unsafe 且带有 pickle 标签的文件。这里以 danger.dat 为例，状态按钮位于文件操作栏的右侧。
主要操作：点击 Unsafe，展开 File Security Scans 面板。先核对面板顶部的文件名是否正确，然后逐行查看每个扫描器的结果与说明。在此示例中，JFrog、Protect AI 和 HF Picklescan 均显示 Unsafe，ClamAV 还提示存在可疑代码执行签名；HF Picklescan 的说明是该文件包含可能不安全的导入。
成功标志：您能明确指出是哪个文件、哪个扫描器、哪条结果触发了警告，而不只是记得有一个红色标签。看到 HF Picklescan 报 Unsafe 后，就不要再下载和运行该文件。
失败处理：如果点击后面板未展开，请确认点击的是操作栏中的 Unsafe，而不是页面上的普通文字。如果面板底部被屏幕遮挡，请向下滚动页面，直到 HF Picklescan 那一行及其说明完整显示；不要只看面板上半部分就猜测 Pickle 的结论。
该图中最关键的是最下方 HF Picklescan 的 Unsafe 结果以及“可能不安全的导入”说明。上方其他扫描器的结果可作为交叉佐证，但无法替代 Pickle 导入检查本身。
拿 Safe 文件对照，理解结果含义
入口位置：回到同一仓库的文件表格，打开带有 pickle 标签且状态为 Safe 的 pytorch_model.bin，然后点击操作栏中的 Safe。
主要操作：在 File Security Scans 面板中找到 HF Picklescan 这一项。当前公开样本显示 No issue；VirusTotal、Protect AI 和 ClamAV 也显示 No issue，而 JFrog 则显示 not a model。
成功标志：您能区分三种不同的信息：Safe 是整个文件的汇总状态，No issue 是单个扫描器未发现问题，not a model 说明该项检查不适用。这三者都不能被当作“文件已被证明绝对安全”的含义。
失败处理：如果面板中的文件名与您要查的目标文件不一致，请关闭面板，重新进入正确的文件。如果某个扫描器未显示 No issue，请按照页面实际显示的状态记录，不要自行补充结论；如果有新的提交，还需重新核对当前的修订版本。
这张安全样本的图片用于辅助校准读法：HF Picklescan 的 No issue 仅表示扫描器在当前文件中未发现问题，JFrog 的 not a model 也仅表示该项检查不适用，切勿将两者混为一谈。
单独查看 Pickle 导入情况
入口位置：随便打开一个带 pickle 标签的文件详情页，在 Safe 或 Unsafe 状态旁边找到 pickle 按钮即可。这里以 supposedly_safe.pkl 为例。
主要操作：点击 pickle 标签，展开 Pickle imports 面板。该测试文件当前显示 No problematic imports detected，意思是导入扫描未发现被列为有问题的导入项。
成功标志：弹出的面板标题为 Pickle imports，内容也与当前文件对应。请确保将此结果与 File Security Scans 的结果分开理解：前者专门展示 Pickle 的导入信息，后者是多个安全扫描器的汇总结果。
失败处理：如果点击后未弹出面板，请先确认该文件确实带有 pickle 标签，然后重新加载文件详情页。如果面板中列出了具体的导入项或警告，请勿在自己电脑上反序列化来“验证”；应回到文件的来源、发布者和当前修订版本等信息上判断，要么选择可信的替代文件，要么干脆不使用。
这里的 No problematic imports detected 仅仅是一次静态导入检查的结果。它可用于排除已知的可疑导入，但无法替代您对仓库作者、提交历史以及文件用途的信任判断。
扫描器到底检查了什么
官方说明中提到，Hub 会对 pytorch_model.bin 这类 Pickle 文件运行 Pickle Import 扫描，并将查到的导入项显示在文件旁边。扫描时使用 Python 标准库中的 pickletools.genops 来读取操作码，不会实际执行被检查的 Pickle 文件。这也是为什么我们仅通过网页就能看到导入线索，而无需将可疑文件下载到本地电脑的原因。
风险主要出现在反序列化阶段。Pickle 的操作码既能导入模块，也可能通过 eval、exec 这类内置功能执行代码。扫描器能够识别一部分危险信号，但官方也明确表示，它并非万无一失。即使页面显示 Safe 或 No issue，仍然需要确认文件来自可信的发布者、当前修订版本未被替换，并且不要运行用途不明的文件。
完成检查清单
- 已经进入 Files and versions 页面，并记住了当前的分支或修订版本。
- 已经将所有带 pickle 标签的文件都找出来，没有只按扩展名筛选。
- Unsafe 文件都已经展开 File Security Scans 面板，并阅读了 HF Picklescan 的具体说明。
- Safe 文件都已经展开扫描面板，能够分清 Safe、No issue 和 not a model 的区别。
- 已经点击过 pickle 标签查看 Pickle imports，没有把“未发现有问题的导入”当作绝对安全。
- 状态缺失时选择了等待和刷新，没有把空白状态当作扫描通过。
- 没有下载、运行或反序列化被标记为 Unsafe 的文件。
- 4 张步骤截图都能正常打开，分别对应文件范围、危险结果、安全对照和导入详情这四个部分。
