联系我们
关于“Ollama未授权访问”安全漏洞的风险提示
文章来源：本站原创
发布时间：2025-02-24 16:36:43
文章作者：本站编辑
各位老师：
监测发现，用于私有化部署DeepSeek等大模型的境外开源工具Ollama默认未设置身份验证和访问控制功能，其默认服务API接口（http://xx.xx.xx.xx:11434/）可以在未授权情况下被调用，攻击者可远程访问该接口，调用私域大模型计算资源，窃取知识库、投喂虚假甚至有害信息等。
建议使用Ollama部署大模型时采取以下措施，消除安全隐患：
1.若Ollama只对本地提供服务，建议设置环境变量Environment="OLLAMA_HOST=127.0.0.1"，仅允许本地访问。
2.若Ollama对外提供服务，建议采取以下下面任意一种措施
（1）修改config.yaml、settings.json配置文件限定可调用Ollama服务的IP地址；
（2）在防火墙等设备部署IP白名单，严格限定访问IP地址；
（3）通过反向代理实现身份验证和授权（如使用OAuth2.0协议），防止未经授权用户访问。
2025年2月24日
版权所有 ©2021 中国科学技术大学先进技术研究院
地址：安徽省合肥市望江西路5089号，邮政编码：230031
联系我们 皖ICP备05002528号-1 皖公网安备34011102001530号
