Cacat keamanan memori typing-cache CPython memungkinkan template chat model yang jahat lolos dari sandbox Jinja dan menjalankan kode di dalam server inferensi AI (vLLM)

RunSybil mendemonstrasikan (diungkapkan sekitar 3-5 November 2026, posting oss-security 5 November) bahwa cacat keamanan memori di cache tipe generik CPython memungkinkan penyerang yang mengontrol template chat Jinja model untuk lolos dari sandbox dan mengeksekusi kode arbitrer dalam proses yang melayani model tersebut — ditunjukkan terhadap checkpoint Qwen2.5-0.5B yang dibackdoor yang dimuat oleh vLLM. CPython, Jinja/Pallets, Hugging Face, dan vLLM telah diberitahu; CPython menganggap sandboxing Python yang tidak tepercaya di luar model ancamannya, dan perbaikan tidak di-backport ke saluran keamanan 3.12/3.11.

Ini adalah jalur rantai pasokan model menuju eksekusi kode di server inferensi AI: bobot model dan metadata-nya diperlakukan sebagai data, tetapi template chat dieksekusi sebagai kode dalam proses pelayanan. Model beracun di Hugging Face menjadi pijakan yang mencapai host inferensi dan semua yang dapat dibacanya (kredensial, DB, model lain).

Checkpoint model yang jahat atau dirusak mengirimkan chat_template.jinja yang dirancang dan dirender oleh proses server. Template tersebut memicu bug keamanan memori di cache generik typing CPython (pembacaan di luar batas melalui __typing_subst__ pada __parameters__) yang mencapai eksekusi kode arbitrer dalam proses pelayanan dengan hak istimewa interpreter.

CPython (cache generik typing) 3.12/3.11 di Ubuntu/Debian; vLLM dan server mana pun yang merender template chat Jinja yang disediakan model; didemonstrasikan terhadap checkpoint Qwen2.5-0.5B yang dibackdoor.

Perlakukan template chat yang diunduh sebagai kode — tinjau atau kirim milik Anda sendiri; jalankan inferensi dengan hak istimewa minimum (pengguna terpisah, tanpa kredensial cloud, kontainer tanpa akses DB); pindah ke Python 3.13+ di mana perbaikan di-backport; jangan bergantung pada perbaikan distro untuk Python 3.12. Tidak ada CVE dan upstream tidak berencana untuk backport ke saluran keamanan 3.12, jadi ini adalah item 'rencanakan seolah tidak diperbaiki'.