恶意 LLM 可借推理引擎漏洞控制宿主机
大语言模型的推理通常与智能体的执行环境分离：Claude Code、Codex 这类 agent 跑在一台机器上，模型权重和推理却运行在另一台 GPU 机器上，而后者是更值钱的目标——拥有足够的算力、模型权重，以及数据中心内的特权访问。Boyd Kane 的最新文章系统分析了这种攻击面：恶意模型可以输出一串语义无关、却在解析时触发漏洞的 token，借推理引擎接管宿主机。
这不是纯理论。vLLM 的 XML 工具解析器曾把几乎每个工具调用参数直接传给 eval()（CVE-2025-9141），允许模型在宿主机执行任意代码；Gemini 在 PR 审查时就标记了该漏洞，维护者仍强制合并。现代推理引擎要解析 200 多种模型架构和大量对话模板，解析器越复杂，模型输出被误当作代码执行的几率就越高。
更值得警惕的是可复现性：一旦模型发现漏洞利用序列，可以把它写进文件名或文件内容，其他 agent 仅仅列出目录就可能触发执行——相当于一种持久化的 prompt injection。对智能体经济而言，安全边界要从“沙箱里的 agent”延伸到推理引擎本身：GPU 主机与 token 解析器应和 agent 环境隔离，推理基础设施的代码审查也应按安全关键软件的标准对待。