무슨 일이 있었나
RunSybil은 (2026년 11월 3-5일경 공개, oss-security 게시물 11월 5일) CPython의 제네릭 타입 캐시의 메모리 안전 결함을 통해 모델의 Jinja 채팅 템플릿을 제어하는 공격자가 샌드박스를 탈출하여 해당 모델을 서빙하는 프로세스에서 임의 코드를 실행할 수 있음을 시연했습니다 — vLLM에 로드된 백도어된 Qwen2.5-0.5B 체크포인트를 대상으로 했습니다. CPython, Jinja/Pallets, Hugging Face 및 vLLM에 통지되었습니다; CPython은 신뢰할 수 없는 Python의 샌드박싱을 자체 위협 모델 밖으로 간주하며, 수정 사항은 3.12/3.11 보안 채널에 백포트되지 않았습니다.
왜 중요한가
이것은 AI 추론 서버에서 코드 실행으로 이어지는 모델 공급망 경로입니다: 모델 가중치와 메타데이터는 데이터로 취급되지만, 채팅 템플릿은 서빙 프로세스에서 코드로 실행됩니다. Hugging Face의 오염된 모델은 추론 호스트와 그 호스트가 읽을 수 있는 모든 것(자격 증명, DB, 다른 모델)에 도달하는 발판이 됩니다.
공격 경로
악성 또는 변조된 모델 체크포인트가 서버 프로세스에 의해 렌더링되는 조작된 chat_template.jinja를 포함합니다. 템플릿은 CPython의 타이핑 제네릭 캐시의 메모리 안전 버그(__parameters__에 대한 __typing_subst__를 통한 경계 외 읽기)를 유발하여 인터프리터 권한으로 서빙 프로세스에서 임의 코드 실행을 달성합니다.
영향받는 시스템
Ubuntu/Debian의 CPython (typing generics cache) 3.12/3.11; vLLM 및 모델 제공 Jinja 채팅 템플릿을 렌더링하는 모든 서버; 백도어된 Qwen2.5-0.5B 체크포인트로 시연됨.
완화 방안
다운로드한 채팅 템플릿을 코드로 취급하세요 — 검토하거나 자체 템플릿을 사용하세요. 최소 권한으로 추론을 실행하세요(별도 사용자, 클라우드 자격 증명 없음, DB 접근 없는 컨테이너). 수정 사항이 백포트된 Python 3.13+로 이동하세요. Python 3.12에 대한 배포판 수정에 의존하지 마세요. CVE가 없으며 업스트림이 3.12 보안 채널에 백포트할 계획이 없으므로, '미수정으로 간주하고 계획' 항목입니다.