supply chain safety
安全なGGUFの選び方と取得チェックリスト
GGUFはモデルの重みを格納したデータファイルですが、「開いて動く」だけで安全性が保証されるわけではありません。 ここでは、誰が公開し・何を含み・どう検証するかを、初心者が実行できる範囲で整理します。
このページは「怪しい実行ファイルを避ける」「配布元を確認する」といった、一般ユーザーが現実的にできる対策を主眼としています。
推論エンジンそのものの脆弱性解析や、学術的な攻撃研究の詳細は扱いません。
1. 元モデル開発者と「GGUF変換・量子化配布者」は別
Hugging Face 等で見かける GGUF の多くは、元のモデル開発者ではなく、第三者が変換・量子化して配布している場合があります。 どちらの名前かを見極めることが、信頼性判断の第一歩です。
- 元モデル開発者（例: 研究室、企業、公開コミュニティ）が自ら GGUF を出している場合は、その公式アカウントかを確認する。
- 第三者による「GGUF化・量子化版」の場合は、配布者の実績・他利用者の評価・更新頻度を確認する。
- ライセンスは「元モデルのライセンス」と「配布者の追加条件」の両方を確認する。商用利用などは元モデルのライセンスに従う。
2. モデルカードと files and versions を読む
Hugging Face のモデルページで確認すべき点：
| 項目 | 確認内容 |
|---|---|
| Model card | 用途・限界・ライセンス・推奨量子化が書かれているか |
| Files and versions | GGUF ファイルの有無、サイズ、分割（shard）の有無 |
| Revisions / commit | いつ更新されたか、不自然な更新がないか |
| Downloads / 評価 | 利用実績の目安（絶対ではない） |
| README の安全性記載 | 「このファイルは重みデータのみ」と明記されているか |
GGUF ファイル単体では、それが本当に書かれた通りのモデルであるかを簡易には検証できません。 信頼できる配布元を選ぶことが、現実的な第一防衛線です。
3. 配布物の互換性を確認する
- chat template: 会話モデルなら、モデルに合った chat template が含まれているか（LM Studio は多くを自動判定）。
- tokenizer: トークナイザー資産が揃っているか。
- mmproj: 画像等マルチモーダルなら、対応する mmproj ファイルが別途必要。
- split files: 分割（0001-of-000x）の場合、全ファイルが揃わないとロードできない。
- GGUF version: 使用するランタイム（llama.cpp / LM Studio）が対応する GGUF バージョンか。
4. 不審なものを避ける
GGUF と一緒に、実行ファイル(.exe/.sh/.bat)や不明なスクリプトが同梱されている
「必ず入れて」「設定不要」と過度に勧誘する外部リンク
公式ミラーを名乗りつつドメインが不自然に似ている
アンチウイルス等で明示的に警告されたファイル
GGUF は推論時にメモリへ読み込まれるデータですが、推論ランタイムの脆弱性を突く研究は存在します。 そのため「有名だから」「動いたから」だけで無条件に信頼するのではなく、配布元の信頼性を確認する習慣が重要です。 （学術的な攻撃研究の詳細や、自前での挙動検証手法は、ここでは扱いません。）
5. ダウンロード後の基本確認
- LM Studio でロードし、エラーなくチャット画面まで到達するか。
- 異常な挙動（勝手な外部通信、予期せぬテキスト生成）がないか様子を見る。
- 期待と大きく違う出力が出る場合は、別の配布元や量子化を試す。
- 本サイトの チェッカー で、自分のPCで動くサイズか確認する。
安全取得チェックリスト
- 配布元（publisher）が信頼できるか確認した。
- 元モデル開発者と量子化配布者が別であることを理解した。
- モデルカードと files and versions を読んだ。
- 自分の LM Studio / llama.cpp のバージョンと互換があるか確認した。
- 同梱ファイルに不審な実行ファイルがないか確認した。
- ダウンロード後、ロードエラーがないか確認した。
具体例（架空シナリオ）
例えば「ModelX-Q4_K_M.gguf」を見つけたとします。配布元が「ModelX 公式」ではなく、
第三者の「gguf-uploader」であれば、元モデルのライセンス・品質が維持されているかモデルカードで確認します。
また、ファイルと一緒に .exe や .bat が同梱されていたら、それは GGUF 本体ではなく
不審な実行ファイルの可能性があるため、取得を控えます。