Зміст
Коротко
Локальна LLM (велика мовна модель) справді може не надсилати запити сторонньому постачальникові. Проте це не робить дані захищеними автоматично. Уразливість Bleeding Llama в Ollama показує, що сервіс моделі здатен розкрити власну пам’ять через свій інтерфейс.
Ризик стає відчутним, коли експеримент на ноутбуці перетворюється на спільний сервер для команди, внутрішнього інструмента або агента ШІ. Тоді слово «локальний» описує місце роботи моделі, але не рівень захисту промптів, ключів і результатів.
Що сталося
У травні 2026 року Cyera Research оприлюднила Bleeding Llama — критичну уразливість CVE-2026-7482 з оцінкою 9,1. Вона впливає на Ollama до версії 0.17.1, поширений засіб для запуску Llama, Mistral та інших відкритих моделей на власному комп’ютері чи сервері.
Проблема міститься в обробці файлів GGUF під час завантаження моделі. Спеціально сформований файл може містити опис тензорів, що не відповідає фактичному обсягу даних. Уразливий завантажувач читає пам’ять поза очікуваним буфером і додає сторонні байти до створюваного артефакту моделі.
За описом дослідників, для атаки достатньо трьох неаутентифікованих викликів API: передати шкідливий файл, створити на його основі модель, а потім надіслати результат до реєстру зловмисника. Сервер не мусить аварійно завершуватися, а користувачеві не потрібно нічого підтверджувати: витік виглядає як звичайна операція з моделлю.
Чому це важливо
У пам’яті процесу Ollama можуть одночасно бути промпти, системні інструкції, результати інструментів, змінні середовища, ключі API та дані кількох користувачів. Модель не зобов’язана розкрити таємницю у відповіді: її може витягти інфраструктура, що обслуговує модель.
Ізольований запуск на ноутбуці, який слухає лише localhost, суттєво відрізняється від спільного сервісу. Але шлях від першого досліду до внутрішньої платформи короткий: доступ отримує колега, сервіс відкривають у мережі, під’єднують блокноти, CI, базу знань або прикладну систему.
Фізично сервер усе ще може лишатися у вашому офісі, але в нього вже є мережеві кінцеві точки, шляхи імпорту моделей, вихідні з’єднання та доступ до робочих секретів. Це інфраструктура, якій потрібні оновлення, перевірка користувачів і оцінювання безпеки так само, як будь-якому іншому серверу з чутливими даними.
На практиці
Почніть з інвентаризації: знайдіть усі екземпляри Ollama, перевірте їхні версії, коло доступу до API та дані, доступні процесу. Оновлення до 0.17.1 або новішої версії усуває відомий дефект, але не замінює перевірки конфігурації та прав.
Окремо з’ясуйте, чи не став нібито локальний сервіс спільним без явного рішення команди. Проксі без перевірки користувача, мережа контейнерів або прослуховування широкого інтерфейсу змінюють поверхню атаки, навіть якщо машина не покидає офіс.
- Оновіть усі екземпляри до
0.17.1або новішої версії та відстежуйте їх у звичайному процесі встановлення виправлень. - Залишайте прив’язку до
localhost, коли доступ із мережі не потрібен; для спільного сервісу додайте перевірку користувачів і обмеження джерел запитів. - Дайте процесу моделі лише необхідні секрети: використовуйте окремий обліковий запис і приберіть зайві змінні середовища.
- Вважайте файли моделей і зовнішні реєстри недовіреними вхідними даними. Обмежте завантаження, створення та надсилання моделей, а також непотрібні вихідні з’єднання.
- Додайте сервери моделей до журналювання, перевірок уразливостей і навчань з реагування на інциденти нарівні з API та базами даних.
Підсумок
Самостійний запуск моделі може зменшити залежність від сторонніх API та дати команді більше контролю над зберіганням даних. Водночас команда бере на себе відповідальність за сервер, мережеву межу, регулярність оновлень, завантаження моделей і секрети, доступні з пам’яті процесу.
Bleeding Llama нагадує: не можна перевіряти лише поведінку ШІ та його реакцію на шкідливі промпти. Щойно LLM-сервер стає частиною продукту, його пам’ять, точки імпорту й вихідні з’єднання входять до поверхні атаки.