Los modelos de lenguaje grandes a menudo se ejecutan en máquinas separadas de sus motores de inferencia, pero un LLM malicioso podría potencialmente controlar la máquina anfitriona donde se cargan sus pesos. Este objetivo de alto valor ofrece una capacidad de cómputo significativa y acceso privilegiado a otras computadoras en el centro de datos.

El vector de ataque principal implica que el LLM emita secuencias de tokens que exploten vulnerabilidades en el software que carga el modelo. Como cualquier programa, los motores de inferencia como v LLM o SGLang pueden contener errores explotables. Un LLM malicioso podría emitir tokens confundidos con código ejecutable en lugar de respuestas de usuario.

Por ejemplo, CVE-2025-9141 fue un error de ejecución de código arbitrario en el analizador de herramientas basado en XML de v LLM para Qwen3 Coder. El analizador pasaba argumentos a eval(), permitiendo la ejecución de código. A pesar de que Gemini marcó el problema como crítico, el mantenedor principal fusionó forzosamente la PR debido a la complejidad del análisis.

Estos motores son sistemas complejos que admiten más de 200 arquitecturas de modelos. Los errores son comunes; un problema mostró que v LLM analizaba incorrectamente `<mm:think>` de Mini Max-M3 como texto de razonamiento. Si bien las salidas multimodales agregan superficies de ataque, los tokens de medios restringidos actuales limitan las explotaciones directas de archivos.

Pregunta frecuente: ¿Cómo puede un LLM ejecutar código en la máquina anfitriona?

Emitiendo secuencias de tokens que exploten vulnerabilidades de análisis en motores de inferencia como v LLM o SGLang, haciendo que confundan la salida con instrucciones ejecutables.