Cień w stercie: Podatność CVE-2026-5757 umożliwia kradzież danych z serwerów Ollama

Wystarczy jeden, precyzyjnie spreparowany plik GGUF, by lokalna instancja Ollamy zaczęła „wypluwać” swoje najgłębsze tajemnice wprost na serwer intruza. To nie jest teoretyczny scenariusz, lecz realne zagrożenie o kodzie CVE-2026-5757, które uderza w fundamenty zaufania do lokalnych modeli językowych.

Anatomia wycieku: Paradoks optymalizacji

Badacz bezpieczeństwa Jeremy Brown, wspierany przez algorytmy sztucznej inteligencji, namierzył błąd w mechanizmie kwantyzacji. To proces, który zazwyczaj wychwalamy – pozwala on upchnąć potężne modele w pamięci domowych kart graficznych poprzez redukcję precyzji wag. Jednak w implementacji Ollamy ten sam proces stał się wytrychem do pamięci sterty (heap).

Problem tkwi w bezgranicznym zaufaniu do metadanych zawartych w nagłówku pliku GGUF.

Trzy kroki do kompromitacji

• Brak walidacji rozmiaru: Silnik przyjmuje zadeklarowane przez użytkownika parametry bez weryfikacji ich spójności z faktyczną zawartością pliku.
• Niebezpieczne operacje w języku Go: Użycie funkcji unsafe.Slice pozwala na zdefiniowanie wirtualnego wycinka pamięci, który wykracza poza bezpieczny bufor.
• Eksfiltracja jako warstwa modelu: Odczytane dane nie znikają – stają się nową „warstwą” modelu, którą atakujący może następnie przesłać do swojego rejestru za pomocą komendy push.

To elegancki i przerażający sposób na kradzież kluczy API, danych użytkowników czy poświadczeń systemowych bez zostawiania oczywistych śladów w logach.

Infrastruktura bez zabezpieczeń

Największym grzechem Ollamy nie jest jednak sam błąd w kodzie, a specyficzna filozofia projektu. Platforma domyślnie nie posiada mechanizmów uwierzytelniania. W świecie, gdzie administratorzy często wystawiają API na świat zewnętrzny bez dodatkowych zabezpieczeń, luka CVE-2026-5757 zmienia każde zapytanie o nowy model w potencjalny wyrok dla prywatności danych.

Ollama ufa każdemu, kto może połączyć się z jej API.

Jak zabezpieczyć system przed poprawką?

Na ten moment oficjalny patch nie istnieje, co stawia użytkowników w trudnej pozycji. Jeśli operujesz na infrastrukturze wystawionej do sieci, musisz działać agresywnie:

• Całkowicie zablokuj publiczny dostęp do API Ollamy poprzez reguły firewalla lub VPN.
• Ogranicz możliwość importowania i przesyłania (push/pull) modeli wyłącznie do zaufanych źródeł.
• Wprowadź rygorystyczny monitoring ruchu wychodzącego pod kątem nietypowych transferów dużych wolumenów danych.

To zimny prysznic dla entuzjastów lokalnej sztucznej inteligencji. Okazuje się, że dążenie do prostoty obsługi i maksymalnej wydajności kwantyzacji otworzyło drzwi, których nikt nie zamierzał nawet montować. Dopóki poprawka nie trafi do repozytorium, każdy plik GGUF z nieznanego źródła należy traktować jak cybernetyczny granat.