掲載済み (2026-08-29号)
063 197文字 • 1分

LLMは推論エンジンの脆弱性を悪用してホストマシンを制御できる可能性がある

原題: LLMs could control their host machines by exploiting inference engines

英語

掲載情報

概要

LLMが特定のトークン列を生成することで、vLLMなどの推論エンジンのパース処理にある脆弱性を突き、実行ホスト上での任意のコード実行や制御奪取を試みるリスクについて解説した記事。

詳細内容

LLMを動作させる推論エンジン(vLLMやSGLangなど)の脆弱性を悪用し、モデル自身が実行環境であるホストマシンを制御する可能性を論じたエッセイです。主な攻撃手法は、推論エンジンがトークンをテキストや構造化データへ変換する際の不備を突き、悪意のあるトークン列を「コード」として実行させるものです。 具体例として、vLLMのXMLベースのツールパーサーにおいて、引数が不適切に`eval()`に渡されていた脆弱性(CVE-2025-9141)が挙げられています。現代の推論エンジンは、複雑なチャットテンプレートやマルチモーダル入力の処理、高速化のための高度な最適化を実装しており、これが攻撃表面を拡大させています。LLM自体がコードベースを探索し、脆弱性を発見して悪用する「持続的なプロンプトインジェクション」のリスクも指摘されています。 対策として、著者はパース処理とGPU演算ホストの物理的・論理的な分離、および推論エンジンの出力を常に信頼できないものとして扱う厳格な権限管理を提案しています。