摘要： Sysdig 誘捕系統在 CVE-2026-33626 資訊登上 GitHub 後 12 小時 31 分鐘錄到首次實際攻擊，當時尚無公開 PoC。LMDeploy 的圖片載入函式未檢查目標 IP，讓攻擊者可探測雲端中繼資料、內部服務與內網埠。受影響範圍至 0.12.0 含，advisory 當時未列出修補版本。
先把時間軸擺出來。Sysdig 的誘捕系統在漏洞資訊登上 GitHub 之後僅 12 小時 31 分鐘，就錄到第一場真實攻擊：2026 年 4 月 22 日凌晨 3 點 35 分（UTC）起，來源 IP 103.116.72[.]119 在 8 分鐘內對一台開源 LLM 推理伺服器接連送出 10 個請求，一步一步往後方的內部網路探。那一刻，網路上還看不到任何公開 PoC。 這次出事的是 LMDeploy，InternLM 團隊維護的開源工具包，定位是壓縮、部署與服務大型語言模型。漏洞編號 CVE-2026-33626，CVSS 7.5，歸類為高嚴重度的 SSRF。真正值得多看一眼的是攻擊面：模型沒有被越獄，被改拿來用的是推理伺服器本身，它成了通往內網的通道。每一個自架視覺語言模型（VLM）服務的團隊，都該從這裡讀出同一個結論——攻擊者盯上 AI 供應鏈的速度，已經以小時為單位在計算了。
問題出在哪：不做 IP 檢查的圖片載入函式
病灶位於 lmdeploy/vl/utils.py 的 load_image()。視覺語言模型的請求可以帶入 image_url，伺服器會先把該網址的內容抓回來，再交給模型處理；麻煩在於函式送出請求之前，完全沒有檢查目的地是不是內部或私有位址，encode_image_base64() 也有一模一樣的毛病。維護方在 advisory GHSA-6w67-hwm5-92mq 裡把根因寫得直白：抓取動作前沒有任何驗證，也不存在涵蓋 127.0.0.1、169.254.x.x、10.x.x.x、192.168.x.x 的內部網段黑名單。 預設值又把問題放大：api_server.py 出廠即綁 0.0.0.0，API key 預設關閉，等於誰都能指揮這台伺服器替自己發 HTTP 請求。受影響範圍是 0.12.0（含）以下、支援視覺語言的所有版本；發現並通報的是 Orca Security 的 Igor Stepansky。
誘捕網的完整紀錄：揭露後十三小時內就有人動手
Sysdig 的分析值得逐段細看。漏洞登上 GitHub 之後 12 小時 31 分鐘，誘捕網路便記下首次實際利用——時間點是 4 月 22 日 03:35 UTC。整場攻擊是一個 8 分鐘 session、合計 10 個請求，按三個階段推進：
- 第一階段直取 AWS 中繼資料服務（IMDS）與 Redis
- 第二階段向 requestrepo[.]com 發出 OOB DNS callback，先證明連得到任意外部主機，接著枚舉 API surface
- 第三階段對 loopback 介面（127.0.0[.]1）進行埠掃描 過程中攻擊者還輪流切換 internlm-xcomposer2 與 OpenGVLab/InternVL2-8B 這兩個 VLM，把探測動作包進看似平常的模型呼叫裡，壓低踩中偵測規則的機率。
從推理伺服器到內網通道：完整的 SSRF 攻擊路徑
advisory 的攻擊情境把整條鏈走了一遍：向 /v1/chat/completions 提出的要求是「請描述這張圖片」，image_url 卻填了 http://169.254.169.254/latest/meta-data/iam/security-credentials/。伺服器照著抓，模型照著答，雲端 IAM 憑證就這樣跟著回應流到外面。官方列出的影響包括：雲端憑證被竊、接觸未對外曝露的內部服務、對內網做埠掃描，以及取得橫向移動的機會。
換個說法，LLM 伺服器「幫使用者抓內容」這項功能，本身就是裝在程式裡的現成 SSRF 原語——攻擊者完全不必突破防火牆，因為這些請求本來就是從內部發出去的。
AI 基礎設施為何率先被武器化
跳出單一事件，Sysdig 的整體觀察分量更重：過去六個月，推理伺服器、model gateway 與 agent orchestration 工具的高危漏洞，不論裝機量多寡，都在 advisory 刊出後數小時內變成可用的攻擊。GenAI 還在讓局面加速惡化：像 GHSA-6w67-hwm5-92mq 這種把檔案、參數、根因和範例程式碼全部寫明的 advisory，「本身就是一條現成的 prompt，任何商業 LLM 都能拿來產出可用的 exploit」。 造成這種局面的結構性原因並不難懂：AI 工具鏈大量依賴開源組件、部署節奏快，又經常以摩擦最低的姿態上線——不設認證、綁 0.0.0.0、直接面向公網。會自架開源模型的團隊今年只會繼續增加（見開年觀察），然而這些推理棧的安全水位，顯然還追不上採用的速度。
給自架推理棧的防護檢查表
- 先清點所有暴露在網際網路上的 LMDeploy 實例：版本在 0.12.0（含）以下且支援視覺語言者全部入列；advisory 沒有給出修補版本，光等升級並不是辦法
- 網路層先做止血：強制 IMDSv2、擋下推理服務前往 169.254.169.254 與私有網段的出站流量，並在閘道加上 egress 過濾
- 啟用 API key 認證，別再把服務綁在 0.0.0.0；對 image_url 這種「伺服器代抓」型參數加上白名單
- 把誘捕與 OOB 偵測變成日常配置：這次 12.5 小時內就有攻擊者上門，偵測窗口必須以小時為單位來規劃