Hugging Faceがカスタムカーネル共有プロジェクト「🤗 Kernels」を大幅刷新、新リポジトリタイプやセキュリティ機能を導入

要点

• AIモデル等の実行を高速化する「カスタムカーネル」のパッケージ化や配布を標準化するプロジェクト「🤗 Kernels」が大幅に刷新された。

• Hugging Face Hubに新しいリポジトリタイプ「kernel」が追加され、対応するアクセラレータやOSなどの動作環境が一目で確認可能になった。

• 悪意あるコードの実行を防ぐため、デフォルトでは信頼された組織のカーネルのみを読み込む「信頼されたパブリッシャー」制度が導入された。

• アカウント情報の漏洩対策として、一時的な秘密鍵を用いてカーネルの出所を証明する「コード署名」技術が取り入れられた。

• 機械学習プラットフォーム大手のHugging Faceは2026年7月6日、カスタムカーネルのパッケージ化、配布、および利用の標準化を目指すプロジェクト「🤗 Kernels」の大規模なアップデートを発表した。同プロジェクトは、開発者が摩擦なく安全にカスタムカーネルを共有・利用できる環境の構築を目指しており、ここ数ヶ月の間にプロジェクト構成のほぼ全域にわたる再設計が行われたという。今回の刷新により、Hugging Face Hub上での発見しやすさが向上したほか、実行権限に伴うセキュリティリスクへの対策が大幅に強化された。

動作環境が一目でわかる新リポジトリタイプ「kernel」

今回のアップデートにおける最も大きな変更点の一つが、Hugging Face Hubにおける新しいリポジトリタイプ「kernel」の導入である。

カスタムカーネルとは、GPUなどのハードウェアが持つ処理能力を最大限に引き出すために、特定の処理に特化して記述されたネイティブプログラムを指す。これまでカスタムカーネルは、動作するハードウェアやOS、前提となるソフトウェアの組み合わせが複雑で、利用者が自身の環境で動作するかどうかを判断するのが難しいという課題があった。

新しく追加された「kernel」リポジトリでは、そのカーネルがどのアクセラレータ（処理を高速化する専用ハードウェア）やOS、バックエンドのバージョンに対応しているのかがタグやメタデータとして視覚的に整理される。たとえば、GPU上での高速なアテンション計算（データ内の関連度を計算する処理）を行うことで知られる「Flash Attention 3」のカーネルページなどでは、動作環境の仕様がクリアに表示されるようになっている。

Hugging Faceは、カーネルをHubの主要な要素として扱うことで、AIコミュニティ全体における利便性が飛躍的に向上すると説明する。ユーザーはどのモデルやアプリケーションがどのようなカーネルと組み合わせて使われているのかといったトレンドを把握しやすくなり、目的に適したカーネルを容易に見つけ出せるようになるという。

悪意あるコードからシステムを守るセキュリティの多重化

カスタムカーネルは、読み込むPythonプロセスと同じ権限でネイティブコードを実行するため、仮に悪意あるカーネルが入り込んだ場合、ユーザーのシステムに対して深刻な被害を与える危険性を秘めている。そのため、同プロジェクトでは初期段階からセキュリティと再現性の確保に重点を置いてきた。

具体的には、ビルド環境を強く隔離されたサンドボックス（安全にプログラムを実行できる仮想的な制限環境）内に構築し、ビルドの純粋性を保証するパッケージ管理システム「Nix」を採用している。これにより、誰でも同じソースコードから全く同一のバイナリを再コンパイルして検証できるようにした。さらに、ビルドされたカーネル自体にソースコードのGit SHA1ハッシュ値（ファイルの同一性を証明する識別子）を埋め込むことで、来歴の透明性を高めている。

そして今回、さらなる防御策として「信頼されたパブリッシャー」と「カーネル署名」という2つのセキュリティ層が追加された。

信頼されたパブリッシャーによるデフォルト制限

「信頼されたパブリッシャー」制度の導入に伴い、Hugging Faceが提供する kernels パッケージは、デフォルトでコミュニティから信頼された組織が公開したカーネルのみを読み込む仕様に変更された。

もし、信頼されたパブリッシャーに指定されていない一般のユーザーや組織が公開したカーネルを利用したい場合は、コードを実行する際に trust_remote_code=True という引数を明示的に指定して、オプトイン（明示的な同意）を行う必要がある。また、Hub上へのカーネルリポジトリの新規公開はデフォルトで制限されており、希望するユーザーや組織はアカウント設定から申請を行い、Hugging Faceによる個別審査を経る必要があるという。

不正アップロードを防ぐ「コード署名」

もう一つのセキュリティ強化策である「コード署名」は、信頼されたパブリッシャーのアカウント情報が奪取され、なりすましによって悪意あるカーネルがアップロードされるリスクに対処するものだ。

この仕組みでは、開発者だけが持つ秘密鍵を用いてカーネルにデジタル署名を施し、公開されている公開鍵を用いてその正当性を検証する。攻撃者が仮にHugging Face Hubの認証情報を盗み出して偽のカーネルをアップロードしたとしても、署名用の秘密鍵を持っていなければ検証をパスすることはできない。

さらに安全性を高めるため、同プロジェクトでは「Sigstore」と呼ばれる署名標準の「cosign」ツールを採用している。これにより、ごく短い時間だけ有効な一時的な秘密鍵を使用した署名が可能となり、万が一鍵が漏洩した場合の被害を最小限に抑えることができる。加えて、信頼されたGitHubのワークフローからビルドされたものであるかどうかの検証も行われる。

現在、この署名機能はビルドツールの kernel-builder でサポートされており、署名を検証するための kernels verify-signature コマンドが用意されている。ただし、読み込み時の自動検証については、機能の安定性を担保するために慎重にテストを進めている段階であり、現時点ではデフォルトの処理には組み込まれていない。

その他の改善と今後の展望

今回の再設計では、コマンドラインインターフェース（CLI）の刷新や、サポートするフレームワークおよびバックエンドのカバー範囲の拡大も行われた。また、将来的な機能として、AIエージェントによるカーネル開発を可能にするための基礎設計も進められているという。

Hugging Faceは、これらのアップデートを通じて、機械学習向けカスタムカーネルのエコシステムをより安全かつ効率的なものへと発展させていく姿勢を示している。