PyTorch: weights_only limita la carga de un modelo, pero no convierte el archivo en seguro
La documentación describe un cargador restringido y advierte de riesgos que permanecen. Antes de cambiar una opción para abrir un checkpoint, conviene comprobar qué se está autorizando.
Un error al abrir un archivo de modelo no debería resolverse automáticamente desactivando la restricción que lo ha detenido. La documentación de PyTorch explica que weights_only=True limita las funciones y clases que puede utilizar el proceso de carga y no permite importar dinámicamente durante la deserialización. Desde la versión 2.6, torch.load utiliza esa opción por defecto si no se pasa el argumento pickle_module.
La misma documentación delimita su alcance: reduce la superficie de ataques de ejecución de código, pero no protege frente a denegación de servicio y no descarta completamente problemas de corrupción de memoria. Por eso, que un archivo se cargue con esa opción no equivale a una certificación general de seguridad.
Supuesto propio: un equipo recibe dos archivos con el mismo nombre, uno de su proceso interno y otro adjunto a un mensaje externo. Si el segundo produce un error, el nombre coincidente no demuestra que ambos tengan el mismo origen o contenido. Antes de ampliar lo permitido por el cargador, la decisión requiere identificar la procedencia y entender qué objeto está pidiendo construir el archivo.
Una ficha útil puede conservar origen, versión de PyTorch, opción de carga y explicación del error. Esa trazabilidad ayuda a revisar la decisión sin presentar un cambio de parámetro como solución universal. No hemos ejecutado un checkpoint externo ni probado una defensa; esta pieza se apoya en la documentación y no propone cargar archivos desconocidos para comprobar si son peligrosos.