本地跑大模型，真的比云端更安全嗎？Cyera安全團隊的一項最新發(fā)現(xiàn)，可能要讓不少開發(fā)者重新評估這個假設(shè)。

網(wǎng)絡(luò)安全研究人員近期披露了一個影響Ollama的關(guān)鍵漏洞。這個編號為CVE-2026-7482的越界讀取漏洞，CVSS評分高達9.1，被Cyera命名為"Bleeding Llama"。據(jù)估計，全球超過30萬臺服務(wù)器可能受到影響。

Ollama是一款流行的開源框架，讓用戶能夠在本地而非云端運行大語言模型。該項目在GitHub上已獲得超過17.1萬星標，被分叉超過1.61萬次。本地部署意味著數(shù)據(jù)不離開自己的機器——這原本是許多團隊選擇它的核心理由。

漏洞的根源在于Ollama處理GGUF文件的方式。GGUF（GPT-Generated Unified Format）是一種用于存儲大語言模型的文件格式，便于本地加載和執(zhí)行。根據(jù)CVE.org的描述，0.17.1版本之前的Ollama在GGUF模型加載器中存在堆越界讀取漏洞。具體來說，/api/create端點接受攻擊者提供的GGUF文件，其中聲明的張量偏移量和大小可能超出文件實際長度；在fs/ggml/gguf.go和server/quantization.go的WriteTo()函數(shù)中進行量化時，服務(wù)器會讀取超出已分配堆緩沖區(qū)的內(nèi)存。

問題的核心在于Ollama使用了Go語言的unsafe包來從GGUF文件創(chuàng)建模型，特別是在WriteTo()函數(shù)中，這使得執(zhí)行繞過編程語言內(nèi)存安全保證的操作成為可能。

攻擊場景并不復(fù)雜。攻擊者向暴露的Ollama服務(wù)器發(fā)送一個精心構(gòu)造的GGUF文件，將張量形狀設(shè)置為非常大的數(shù)值，即可在通過/api/create端點創(chuàng)建模型時觸發(fā)堆越界讀取。成功利用該漏洞可能導(dǎo)致Ollama進程內(nèi)存中的敏感數(shù)據(jù)泄露。

這些數(shù)據(jù)可能包括環(huán)境變量、API密鑰、系統(tǒng)提示詞，以及其他并發(fā)用戶的對話記錄。攻擊者還可以通過/api/push端點將生成的模型產(chǎn)物上傳到受控的注冊表，從而完成數(shù)據(jù)外泄。整個攻擊鏈條分為三個步驟。

Cyera安全研究員Dor Attias指出："攻擊者基本上可以從你的AI推理中了解到該組織的任何信息——API密鑰、專有代碼、客戶合同等等。"他還補充了一個更危險的場景："工程師經(jīng)常將Ollama連接到Claude Code等工具。在這種情況下，影響甚至更大——所有工具輸出都會流向Ollama服務(wù)器，保存在堆中，最終可能落入攻擊者手中。"

目前建議用戶采取多項防護措施：應(yīng)用最新補丁、限制網(wǎng)絡(luò)訪問、審計運行實例的互聯(lián)網(wǎng)暴露情況，并將其隔離在防火墻后。此外，由于Ollama的REST API默認不提供認證，建議在所有實例前部署認證代理或API網(wǎng)關(guān)。

值得注意的是，Striga的研究人員同期還披露了Ollama Windows更新機制中的另外兩個漏洞。本地AI基礎(chǔ)設(shè)施的安全邊界，正在被逐一檢驗。