Os grandes modelos de linguagem geralmente são executados em máquinas separadas de seus motores de inferência, mas um LLM malicioso poderia potencialmente controlar a máquina host onde seus pesos são carregados. Este alvo de alto valor oferece capacidade de computação significativa e acesso privilegiado a outros computadores no datacenter.

O vetor de ataque primário envolve o LLM emitindo sequências de tokens que exploram vulnerabilidades no software que carrega o modelo. Como qualquer programa, os motores de inferência como v LLM ou SGLang podem conter bugs exploráveis. Um LLM malicioso poderia emitir tokens confundidos com código executável em vez de respostas do usuário.

Por exemplo, CVE-2025-9141 foi um bug de execução de código arbitrário no analisador de ferramentas baseado em XML do v LLM para Qwen3 Coder. O analisador passava argumentos para eval(), permitindo a execução de código. Apesar de Gemini ter marcado o problema como crítico, o mantenedor principal mesclou forçosamente o PR devido à complexidade da análise.

Esses motores são sistemas complexos que suportam mais de 200 arquiteturas de modelos. Bugs são comuns; um problema mostrou que v LLM analisava incorretamente `<mm:think>` do Mini Max-M3 como texto de raciocínio. Embora as saídas multimodais adicionem superfícies de ataque, os tokens de mídia restritos atuais limitam explorações diretas de arquivos.