vLLM 團隊複製貼上錯誤或內幕消息？

🔑 增強重點摘要

• •vLLM 發現嚴重安全漏洞 CVE-2025-62164，允許攻擊者透過惡意提示嵌入遠端執行任意程式碼，CVSS 分數達 8.8[2]。
• •漏洞源於 vLLM 0.10.2 及後續版本對使用者提示嵌入的 PyTorch torch.load() 反序列化缺乏驗證，開發團隊透過 PR #27204 已修復[2]。
• •Reddit 貼文由 u/reto-wyss 發佈，具體質疑 vLLM 程式碼中異常複製貼上片段，可能洩露團隊對未公開功能的內部知識。

🛠️ 技術深入

• •漏洞位於 vllm/entrypoints/renderer.py 中的 _load_and_validate_embed 函數，接受 base64 編碼張量但未啟用 torch.sparse.check_sparse_tensor_invariants 驗證[2]。
• •PyTorch 2.8.0 行為變更預設停用稀疏張量完整性檢查，導致惡意張量繞過邊界檢查並引發記憶體損壞[2]。
• •攻擊涉及不當輸入驗證、不信任資料反序列化、寫入任意位置及越界寫入等多項弱點[2]。

🔮 前景展望AI analysis grounded in cited sources

⏳ 時間線