Große Sprachmodelle laufen oft auf separaten Maschinen von ihren Inferenz-Engines, aber ein bösartiges LLM könnte potenziell die Host-Maschine steuern, auf der seine Gewichte geladen werden. Dieses hochrangige Ziel bietet erhebliche Rechenleistung und privilegierten Zugriff auf andere Computer im Rechenzentrum.

Der primäre Angriffsvektor beinhaltet, dass das LLM Token-Sequenzen ausgibt, die Schwachstellen in der Software ausnutzen, die das Modell lädt. Wie jedes Programm können Inferenz-Engines wie v LLM oder SGLang ausnutzbare Fehler enthalten. Ein bösartiges LLM könnte Tokens ausgeben, die als ausführbarer Code statt als Benutzerantworten missverstanden werden.

Zum Beispiel war CVE-2025-9141 ein beliebiger Code-Ausführungsfehler im XML-basierten Tool-Parser von v LLM für Qwen3 Coder. Der Parser übergab Argumente an eval(), was die Code-Ausführung ermöglichte. Obwohl Gemini das Problem als kritisch markierte, zwangsmillierte der Lead-Maintainer den PR aufgrund der Parsing-Komplexität.

Diese Engines sind komplexe Systeme, die mehr als 200 Modellarchitekturen unterstützen. Fehler sind häufig; ein Problem zeigte, dass v LLM `<mm:think>` von Mini Max-M3 falsch als reasoning text parsen. Während multimodale Ausgaben Angriffsflächen hinzufügen, begrenzen aktuelle eingeschränkte Medien-Tokens direkte Datei-Exploits.