【安全资讯】Ollama发现六个漏洞:AI模型盗窃与污染的风险

安恒恒脑 2024-11-04 19:07:58 198人浏览

概要:

Oligo研究团队近期揭示了在流行的开源框架Ollama中存在的六个漏洞,这些漏洞对在本地和云基础设施上运行大型语言模型(LLMs)的企业AI环境构成了重大风险。随着Ollama在企业中的使用激增,这些漏洞的发现凸显了组织在部署该工具时面临的安全隐患。

主要内容:

在六个漏洞中,有四个已被正式分配CVE并在最近的更新中修复,而另外两个则被Ollama的维护者争议,称其为“影子漏洞”。报告指出,这些漏洞可能允许攻击者通过单个HTTP请求执行多种恶意操作,包括拒绝服务(DoS)攻击、模型污染和模型盗窃等。

具体而言,CVE-2024-39719允许攻击者通过文件存在性原语进一步滥用应用程序;CVE-2024-39720(越界读取)可能导致应用程序因处理格式错误的模型文件而崩溃;CVE-2024-39721(CreateModel路由中的无限循环)则可能使服务器陷入无限循环,耗尽CPU资源;CVE-2024-39722(路径遍历)则允许攻击者获取服务器文件结构的敏感信息。

此外,Ollama的模型管理端点(api/pull和api/push)缺乏足够的身份验证控制,使攻击者能够从未经验证的HTTP源拉取模型或将模型推送到未经验证的源。这些问题扩大了使用Ollama的组织的攻击面,攻击者可以利用这些模型端点来破坏模型或窃取专有知识产权。随着Ollama在GitHub上获得超过94,000个星标,用户迫切需要应用补丁、配置安全设置,并理解将AI模型端点暴露于互联网的潜在影响。
安全漏洞 数据泄露 科技公司 IT行业
    0条评论
    0
    0
    分享
    安全星图平台专注于威胁情报的收集、处理、分析、应用,定期提供高质量的威胁情报。