事件经过
已对照GitHub公告（10月21日发布）验证：当启用trust_remote_code时，vLLM允许客户端控制在导入模型的动态处理器代码时使用哪个修订版，而未认证的/tokenize端点是触发器——单个多模态请求即可在处理进程中运行任意Python代码。种子NVD描述和公告均同意受影响范围为0.7.3–<0.31.0，以及CWE-94代码注入。
影响分析
公共vLLM服务端点通常可通过互联网访问（OpenAI兼容的/v1和/tokenize已暴露）。这将远程请求转化为推理主机上的完全代码执行：模型权重窃取、从环境变量/配置中窃取提供商API密钥，以及横向移动至GPU集群。
攻击途径
未认证攻击者发送携带mm_processor_kwargs.code_revision的多模态请求；vLLM将该请求提供的修订版转发给Transformers AutoProcessor.from_pretrained。如果启用了trust_remote_code且所服务的模型仓库包含恶意修订版，则该请求通过未认证的/tokenize端点在vLLM API进程中执行任意Python代码。
受影响系统
vLLM 0.7.3 – <0.31.0（已在0.31.0中修复）
缓解措施
将vLLM升级至0.31.0（建议使用0.32.0以应对更广泛的多模态浪潮）；在可能的情况下禁用trust_remote_code或将处理器代码限制为已固定、经审查的修订版。公告：GHSA-f623-hjm8-5wg5。