बड़े भाषा मॉडल अक्स उनके इनफरेंस इंजनों से अलग मशीनों पर चलते हैं, लेकिन एक दुर्भावनापूर्ण LLM संभावित रूप से उस होस्ट मशीन को नियंत्रित कर सकता है जहाँ उसके वजन लोड किए जाते हैं। यह उच्च-मूल्य लक्ष्य डेटासेंटर में अन्य कंप्यूटरों तक महत्वपूर्ण कम्प्यूट और विशेषाधिकृत पहुंच प्रदान करता है।

मुख्य हमले का वेक्टर LLM द्वारा टोकन अनुक्रम उत्सर्जित करना शामिल है जो मॉडल लोड करने वाले सॉफ़्टवेयर में कमजोरियों का शोषण करते हैं। किसी भी कार्यक्रम की तरह, v LLM या SGLang जैसे इनफरेंस इंजनों में शोषणीय बग हो सकते हैं। एक दुर्भावनापूर्ण LLM ऐसे टोकन उत्सर्जित कर सकता है जिन्हें उपयोगकर्ता प्रतिक्रियाओं के बजाय निष्पादन योग्य कोड के रूप में गलत समझा जाए।

उदाहरण के लिए, CVE-2025-9141 Qwen3 Coder के लिए v LLM के XML-आधारित टूल पार्सर में एक मनमाने कोड निष्पादन बग था। पार्सर ने eval() को तर्क पास किए, जिससे कोड निष्पादन की अनुमति मिली। हालांकि Gemini ने इसे गंभीर के रूप में चिह्नित किया, फिर भी मुख्य रखरखावकर्ता पार्सिंग जटिलता के कारण PR को बलपूर्वक मर्ज कर दिया।

ये इंजन 200 से अधिक मॉडल आर्किटेक्चर का समर्थन करने वाले जटिल सिस्टम हैं। बग आम हैं; एक मुद्दे ने दिखाया कि v LLM ने Mini Max-M3 से `<mm:think>` को तर्कसंगत पाठ के रूप में गलत पार्स किया। बहु-मोडल आउटपुट हमले की सतह को बढ़ाते हैं, वर्तमान प्रतिबंधित मीडिया टोकन सीधे फाइल एक्सप्लॉइट को सीमित करते हैं।