推論サーバーの脆弱性を悪用したホストマシン制御の脅威分析──vLLM や SGLang におけるコード実行リスク
LLM が推論エンジンのパーサーバグを突いてホストマシンで任意のコードを実行する攻撃ベクトルと、分離構成による防御策を検証する。
リリース: 2026-08-25 · 読了 3 分記事の要約
1. 核心（What）
- LLM が出力する特定のトークン列を利用し、推論エンジンのパース処理の不備を突いてホストマシンで任意のコードを実行する攻撃ベクトルが指摘されている。
- vLLM の XML ベースのツールパーサーにおいて eval() を経由した CVE-2025-9141 などの脆弱性が過去に発生している。
- 200 以上のモデルアーキテクチャや多様な Jinja チャットテンプレートを処理する複雑なパーサー実装がバグの温床になりやすい。
- GPU ホストとトークンパーサーを別々のコンピュータに分離し、GPU 側はロジットのみを出力させる防御策が提案されている。
2. 影響（Why）
- 推論インフラのセキュリティ前提の変化: LLM が単なるテキスト生成を超えてホストマシン上の実効権限にアクセスするエージェント環境では、推論エンジン自体が侵害の踏み台になるリスクを考慮した設計が不可欠になる。
- 国内オンプレミス環境への波及: 国内の閉域網やVPC内でオープンウェイトモデルを運用するプライベートクラウド構築ベンダーは、推論サーバーの脆弱性を突いたバックドア設置への対策を迫られる。
3. 根拠・詳細（How）
- パーサーの誤認によるコード実行メカニズム: vLLM における MiniMax-M3 の文字列 <mm:think> の誤パース事例のように、複雑なチャットフォーマットの処理過程でモデルの出力が実行コードや指示として誤認される。
- 推論とパースの分離による防御アーキテクチャ: GPU ホストとトークンパーサーを別サーバーに分割し、GPU 側はロジット出力のみに限定することで、万が一のパーサー侵害の影響範囲を CPU ホスト側に閉じ込める。
4. 展望・課題（Next）
- セキュリティ監査の厳格化: 高速化が最優先される推論エンジン開発において、C++ や CUDA コンポーネントを含む複雑なコードベースに対する継続的な脆弱性レッドチーミングが必要となる。