Большие языковые модели часто работают на отдельных машинах от своих движков вывода, но вредоносный LLM потенциально может контролировать хост-машину, где загружаются его веса. Эта высокоценная цель обеспечивает значительные вычислительные мощности и привилегированный доступ к другим компьютерам в дата-центре.

Основной вектор атаки включает генерацию последовательностей токенов LLM, которые эксплуатируют уязвимости в программном обеспечении, загружающем модель. Как и любая программа, движки вывода, такие как v LLM или SGLang, могут содержать уязвимые ошибки. Вредоносный LLM может генерировать токены, которые ошибочно принимаются за исполняемый код, а не ответы пользователя.

Например, CVE-2025-9141 была ошибкой произвольного выполнения кода в XML-парсере инструментов v LLM для Qwen3 Coder. Парсер передавал аргументы в eval(), что позволяло выполнять код. Несмотря на то, что Gemini классифицировал проблему как критическую, главный сопровождающий принудительно объединил PR из-за сложности парсинга.

Эти движки являются сложными системами, поддерживающими более 200 архитектур моделей. Ошибки распространены; одна проблема показала, что v LLM неправильно парсил `<mm:think>` из Mini Max-M3 как текст рассуждений. Хотя мультимодальные выходные данные увеличивают поверхность атаки, текущие ограниченные токены медиафайлов ограничивают прямую эксплуатацию файлов.

Часто задаваемые вопросы: Как LLM может выполнять код на хост-машине?

Генерируя последовательности токенов, которые эксплуатируют уязвимости парсинга в движках вывода, таких как v LLM или SGLang, заставляя их путать вывод с исполняемыми инструкциями.