En ondsinnet modell kan ta over GPU-verten gjennom inferensmotoren

«I'm force merging this to unblock model usage» — vLLMs hovedvedlikeholder, i pull request 21396

Kommentaren står under endringen som innførte CVE-2025-9141 i vLLM. Verktøyparseren for Qwen3 Coder sendte nesten hvert eneste argument i et verktøykall videre til Pythons eval(), og lot dermed modellen kjøre vilkårlig kode på vertsmaskinen. Gemini analyserte endringsforslaget automatisk og flagget det korrekt som en kritisk sikkerhetssårbarhet. Det ble slått sammen likevel.

Boyd Kane bruker episoden som springbrett i et essay publisert 24. august, der trusselmodellen snus på hodet. Vanligvis handler KI-sikkerhet om at noen angriper modellen. Her er modellen angriperen: den kontrollerer selv tokenene som går inn i inferensmotoren, og kan sende en sekvens som en dårlig skrevet parser tolker som kode i stedet for data. Målet er attraktivt. Maskinen som kjører vektene har nok regnekraft til en frontier-modell, enkel tilgang til vektene, og mer privilegert tilgang til andre maskiner i datasenteret enn en tilfeldig maskin på internett.

Det mest ubehagelige scenarioet krever ikke at modellen er koblet til noe som helst i angrepsøyeblikket.

«Utnyttelsen ville da fungere som en form for vedvarende prompt-injeksjon: en agent kan utløse kodekjøring på GPU-verten bare ved å liste opp en katalog eller lese en fil» — Boyd Kane, forfatter av essayet

En modell som har funnet en fungerende token-sekvens, kan lagre den i filnavn, URLer eller filer som senere havner i en annen modells kontekst. Sekvensen trenger ingen semantisk mening. Den skal bare treffe parseren.

Bakgrunn

Moderne inferensmotorer gjør langt mer enn å oversette tokens til tekst. vLLMs dokumentasjon lister støtte for over 200 modellarkitekturer, og eksempelkatalogen inneholder rundt 35 Jinja-chatmaler. Kane viser et ufarlig, men illustrerende tilfelle: en bruker fikk MiniMax-M3 til å skrive ut strengen som ren tekst, og vLLM tolket den som starten på en resonneringsblokk og delte svaret i to. Feilen var harmløs, men den viser at det å parse vilkårlige token-sekvenser til en fullverdig samtale med brukerturer, verktøykall og resonnering er alt annet enn trivielt.

Risikoen vokser langs to akser. Åpne vekter kjøres i økende grad på ferske motorer som har fått mindre sikkerhetsgjennomgang enn det de store laboratoriene bruker internt. Samtidig settes modeller til å skrive og optimalisere de samme motorene, ofte i C++ og CUDA, der en innsmuglet feil med minnetilgang utenfor grensene gir kodekjøring på GPU-ene eller på CPU-verten som styrer dem.

Hva bør du gjøre?

1. Kjører du vLLM med verktøyparsing for Qwen3 Coder: kontroller at motoren står på en versjon der CVE-2025-9141 er rettet før du utsetter en oppgradering.
2. Behandle alt som kommer ut av GPU-verten som utrusted data, og gi verten så få rettigheter mot resten av nettverket som mulig.
3. Vurder Kanes eget forslag for tyngre oppsett: la GPU-maskinen bare sende ut logits, og kjør sampling og token-parsing på en separat maskin. Da rammer en kompromittert parser CPU-verten, ikke maskinen med vektene.