PyTorch torch.load() 触发该警告说明正以不安全方式加载模型：默认使用pickle反序列化，可能执行任意代码；根本解法是保存时启用新版ZIP格式（_use_new_zipfile_serialization=True），加载时显式指定weights_only=True（≥2.0.1）并配map_location，仅解析张量与基础容器，禁用类/函数等可执行对象加载。
PyTorch torch.load() 触发 UserWarning: Warning: You are loading a model that was saved with pickle...
这个警告不是错误，但说明你正在用不安全的方式加载模型——PyTorch 默认用 pickle 反序列化，而 pickle 会执行任意代码。只要模型文件来自不可信来源（比如网络下载、第三方上传），就可能被植入恶意逻辑。
根本解法不是忽略警告，而是改用安全的序列化格式：
- 优先用
torch.save(..., _use_new_zipfile_serialization=True)（PyTorch ≥ 1.6 默认启用）保存模型，它用 ZIP + JSON + tensor 二进制分块，不依赖pickle执行逻辑 - 加载时确保 PyTorch 版本 ≥ 1.6，并显式指定
map_location和weights_only=True（PyTorch ≥ 2.0.1 支持） - 若必须加载旧版
.pth文件且无法验证来源，先用沙箱环境（如 Docker 容器）隔离运行
为什么加 weights_only=True 能缓解风险？
这个参数强制 torch.load() 只解析张量数据和基本容器（dict、list、tuple），跳过所有自定义类、函数、lambda、模块导入等可执行对象。但它有硬性限制：
- 仅支持 PyTorch ≥ 2.0.1，且模型必须是用
_use_new_zipfile_serialization=True（即新版 ZIP 格式）保存的 - 如果模型里存了自定义类实例（比如带
__init__的MyNet类），weights_only=True会直接报错：RuntimeError: Cannot load weights-only checkpoint - 它不校验 tensor 内容本身是否异常（比如被注入对抗扰动），只是防代码执行
典型安全加载写法：
立即学习“Python免费学习笔记（深入）”；
import torch
<h1>✅ 安全加载（PyTorch ≥ 2.0.1）</h1><p>state_dict = torch.load("model.pth", map_location="cpu", weights_only=True)</p><h1>❌ 危险：没设 weights_only，或版本太低</h1><h1>state_dict = torch.load("model.pth") # 触发警告，且可执行任意代码</h1><p>遇到 ModuleNotFoundError 或 AttributeError 怎么办？
这类错误常出现在你用 weights_only=False 加载一个依赖特定类定义的模型时——PyTorch 尝试 unpickle 类，但当前环境没导入对应模块。这不是安全性警告，但暴露了更深层问题：
- 模型文件本就不该携带类定义逻辑；正确做法是把模型结构代码单独维护，只用
state_dict存权重 - 如果必须兼容旧模型，确保加载前已导入全部依赖模块（例如
from mypackage import MyCustomLayer），但这会放大攻击面 - 用
torch.jit.load()替代torch.load()是更安全的选择——JIT 模型是编译后的字节码，不反序列化 Python 对象，但要求模型已通过torch.jit.script()或torch.jit.trace()导出
真正容易被忽略的点
很多人以为“我只加载自己训练的模型就没事”，但忽略了两点：
- 模型文件可能被中间环节篡改（比如 CI/CD 构建机感染、共享存储被污染），而
pickle反序列化会在读取瞬间执行代码，没有机会做内容扫描 -
weights_only=True不是万能开关——它只对新版 ZIP 格式生效；如果你用torch.save(model, "x.pth")且 PyTorch
最稳妥路径：统一用 torch.save(model.state_dict(), ...) 保存权重，加载时先定义好模型类，再用 load_state_dict() ——这条路完全绕开 torch.load() 的反序列化逻辑，也自然规避所有 pickle 相关警告和风险。
