公众号关注 「奇妙的 Linux 世界」

设为「星标」，每天带你玩转 Linux ！

2025年3月3日，国家网络安全通报中心发布一则重磅通报：开源大模型工具 Ollama 存在严重安全风险，可能导致数据泄露、算力盗取甚至模型被窃！
这一消息瞬间引发AI圈震动——作为全球最受欢迎的本地化大模型部署工具，Ollama用户覆盖科研机构、企业甚至个人开发者。清华大学分析指出，默认配置下的安全隐患已让大量服务器暴露在互联网上，攻击者可轻易通过未授权访问窃取核心资产。

---

【深度解析：Ollama 为何成为靶心？】

1. 技术架构的“双刃剑”

Ollama凭借客户端-服务器模式和轻量级设计，让用户无需复杂配置即可本地运行Llama 2、通义千问等大模型。其核心依赖的llama.cpp推理引擎支持CPU/GPU跨平台运行，甚至能在无显卡设备上部署。
但正是这种“开箱即用”的便利性埋下隐患：

• • 默认端口暴露：Ollama 服务默认绑定本地端口，但用户常忽略配置防火墙，导致接口直接暴露于公网；

• • 路径遍历漏洞：攻击者可利用API端点（如/api/pull）上传恶意模型文件，覆盖系统关键配置，实现远程代码执行；

• • 模型污染与窃取：未加密的模型推送/拉取接口，让攻击者能篡改或盗取私有模型。

2. 应用场景的“高危地带”

Ollama被广泛用于：

• • 企业私有化部署：如 XRAG-Ollama 框架结合向量数据库，支撑高隐私要求的 RAG 系统；

• • 科研机构模型测试：清华大学、北航等高校利用其快速验证大模型性能；

• • 个人开发者实验：非技术人员也能通过 WebUI 和 Telegram 插件轻松调用AI。
  越是高频使用的场景，默认配置下的风险越触目惊心！

---

【漏洞全景：从历史到当下的安全危机】

历史漏洞回顾

• • CVE-2024-37032（路径遍历） ：攻击者通过恶意模型清单文件覆盖系统配置，实现远程控制；

• • CVE-2024-39722（模型窃取） ：利用API端点遍历服务器目录，窃取模型文件；

• • 资源耗尽攻击：反复调用接口耗尽算力，导致服务瘫痪。

最新通报的核心风险

国家网络安全通报中心指出，当前暴露的服务器面临三大威胁：

1. 1. 数据泄露：未加密的模型和用户对话记录可能被窃；

2. 2. 算力盗用：攻击者劫持GPU资源进行非法挖矿或模型训练；

3. 3. 服务中断：DoS攻击导致企业AI应用停摆。
   
   

---

【防护指南：三步守住安全防线】

1. 紧急加固措施

• • 修改默认端口：避免使用 11434 等常见端口，并通过防火墙限制访问IP；

• • 启用身份验证：为 Ollama API 添加 Token 或 OAuth 验证；

• • 隔离部署环境：使用 Docker 容器或虚拟机运行服务，限制权限。

• • 禁用危险操作接口：如 push/delete/pull 等，并限制 chat 接口的调用频率以防 DDoS 攻击。

2. 长期安全策略

• • 定期更新版本：关注 Ollama 官方补丁，如 0.1.34 版已修复关键漏洞；

• • 模型加密存储：对敏感模型进行加密，避免明文存储；

• • 日志监控：实时分析 API 请求日志，识别异常行为模式。

3. 企业级解决方案

• • 结合零信任架构：通过动态鉴权机制控制模型访问权限；

• • 部署 WAF 防护：过滤恶意 HTTP 请求，阻断路径遍历攻击。

---

【结语：AI 狂奔下的安全反思】

Ollama的漏洞不仅是一记警钟，更暴露了AI工具“重功能轻安全”的行业通病。当大模型渗透到金融、医疗等关键领域，安全必须成为技术普惠的前提。
正如网友评论：“AI越智能，漏洞越致命。” 在享受技术红利的同时，唯有构建从代码到运维的全生命周期防护，才能避免“裸奔时代”的代价。

立即行动：
转发本文至技术团队，检查你的 Ollama服务器！若遭遇攻击，请立即向当地公安网安部门报告。

---

互动话题： 你在使用Ollama时遇到过安全问题吗？评论区分享你的经历！

本文转载自：「AI原生实验室」，原文：https://url.hi-linux.com/WTi2i，版权归原作者所有。欢迎投稿，投稿邮箱: editor@hi-linux.com。

🚀 最近，我们建立了一个技术交流微信群。目前群里已加入了不少行业内的大神，有兴趣的同学可以加入和我们一起交流技术，在 「奇妙的 Linux 世界」 公众号直接回复 「加群」 邀请你入群。

🌟『极客视界』科技达人必备综合资讯指南，等你来探索！访问网址 https://bestgeek.org 即可打开新世界。

📕 关注『奇妙的 Linux 世界』公众号，带你开启有趣新生活！更多好用好玩的软件资源，可访问 https://666666.dev 免费获取。

你可能还喜欢

点击下方图片即可阅读

9 种最热门的 VPN 替代方案！


点击上方图片，『美团|饿了么』外卖红包天天免费领

更多有趣的互联网新鲜事，关注「奇妙的互联网」视频号全了解！