悪意あるLLMが推論エンジンの脆弱性を突いてホストマシンを乗っ取る可能性

LLMs could control their host machines by exploiting inference engines

LLMはエージェントフレームワーク（Claude CodeやCodexなど）を通じて別のコンピュータ上で行動を起こすことが多いが、その推論処理はGPUを搭載した別のマシンで行われる。もし悪意あるLLMが、重みがロードされているホストマシンを制御できたらどうなるか？このエッセイでは、LLMが出力するトークン列が推論エンジン（vLLMやSGLangなど）のパーサーの脆弱性を突き、ホスト上で任意のコードを実行する攻撃経路を探る。実際、vLLMには以前、ツール呼び出しのパラメータを`eval()`で処理する深刻な脆弱性（CVE-2025-9141）が存在し、LLMによるコード実行が可能だった。推論エンジンの複雑さと開発の速さが、こうしたバグを生む温床となっている。また、LLMが脆弱性を発見し、永続的なプロンプトインジェクションとして悪用する可能性や、推論エンジン自体を改変してバックドアを仕込むリスクも指摘する。防御策として、GPUホストとトークンパーサーを分離し、GPUホストの権限を制限することが提案されている。