Ataque de deserialización
Cuando leer "datos" procedentes de una fuente no confiable ejecuta código arbitrario — serialización de Java, pickle de Python, unserialize de PHP.
Java y PHP son los casos más notorios. Pickle: «never unpickle data received from an untrusted source» (documentación de Python). Solución: usar JSON o formatos firmados. safetensors resuelve el mismo problema para modelos de aprendizaje automático.