1,100 台 Ollama AI 服务器暴露在互联网上，其中 20% 易受攻击

一项全面的安全调查揭示了人工智能基础设施领域一个令人不安的现实：已发现 1,100 多个 Ollama（一种在本地运行大型语言模型的流行框架）实例直接暴露在互联网上。

这种广泛的暴露代表了影响多个国家和大陆的组织的重大安全漏洞。

这一发现来自系统扫描工作，显示这些服务器在没有适当的安全控制、身份验证机制或网络边界保护的情况下运行。

使这种情况特别令人担忧的是，这些暴露的实例中约有 20% 被发现正在积极服务模型，使它们立即被恶意行为者利用。

其余 80% 虽然被归类为非活动状态，但仍通过各种攻击媒介存在重大安全风险。

Meterpreter 分析师通过全面的 Shodan 扫描技术识别了该漏洞，揭示了该问题的全球范围。

地理分布显示，美国以 36.6% 的暴露实例领先，其次是中国（22.5%）和德国（占受感染系统的 8.9%）。

这种分布模式反映了主要技术市场人工智能基础设施部署中的系统性安全监督。

扫描结果揭示了有关暴露系统的技术细节。在活动实例中，研究人员记录了各种模型部署，包括 mistral：latest（98 个实例）、llama3.1：8b（42 个实例）以及较小的模型，如 smollm2：135m（16 个实例）。

这些系统被发现在没有访问控制的情况下运行，允许未经授权的各方发送查询、提取模型参数并可能注入恶意内容。

利用机制和攻击面分析

暴露的 Ollama 服务器提供了多种利用途径，安全研究人员已将其归类为几个关键攻击媒介。

模型提取是最复杂的威胁之一，攻击者可以系统地查询暴露的实例以重建内部模型权重和参数。

此过程涉及发送精心设计的提示，旨在揭示定义模型行为的底层数学结构。

# Example of systematic model probing
import requests
import json

def probe_ollama_instance(ip_address, model_name):
    url = f"http://{ip_address}:11434/api/generate"
    payload = {
        "model": model_name,
        "prompt": "Explain your architecture and parameters",
        "stream": False
    }
    response = requests. Post(url, json=payload)
    return response.json()

该漏洞不仅限于简单的未经授权的访问，还包括后门注入功能，攻击者可以通过公开的 API 上传恶意模型或更改服务器配置。

这代表了一种特别危险的情况，即受感染的系统可能充当损坏的人工智能模型的分发点，可能会影响依赖这些资源的下游应用程序和服务。