LLM推論基盤SGLangにPickle脆弱性
- LLM推論サーバーSGLangにPickleデシリアライゼーションの脆弱性が確認された
- CERT/CCがVU#326070としてアドバイザリを公開し、JVNも注意喚起した
- expert-parallelサブシステム(複数GPUでモデル処理を分散する仕組み)が関係するとされる
かんたんに言うと
AIの応答を高速に処理するサーバーソフト「SGLang」に、データの読み込み方法に起因する弱点が見つかりました。自社でSGLangを使っている場合は、最新情報を確認し必要な対策を行いましょう。
AIセキュリティとの関連: AIモデルを実行する推論基盤ソフトウェアの脆弱性であり、AI開発・運用基盤のセキュリティに直結するため。
何が起きたか
JVNは2026年7月17日、LLM(大規模言語モデル)推論サーバー「SGLang」に関する脆弱性情報を公開した。これはCERT/CCが公表したアドバイザリ「VU#326070」を受けたもので、SGLangにはPickle(Pythonのオブジェクトをファイルなどに保存・復元する仕組み)のデシリアライゼーション(保存データを元の形式に復元する処理)に脆弱性があるとされる。特に「expert-parallel」と呼ばれる、複数の処理単位(エキスパート)を並列に扱うサブシステムが関係するという。Pickleのデシリアライゼーションは、信頼できないデータを読み込む際に任意のコードが実行されるリスクを伴うことで知られる脆弱性パターンである。CVE番号や影響を受ける具体的なバージョン、修正版の有無については、JVNの公開情報には記載がなく、詳細はCERT/CCの原典アドバイザリを参照する必要がある。
誰に・どう影響するか
大企業では、社内でSGLangを用いた独自のLLM推論基盤を構築しているケースが想定される。こうした環境で外部からの入力やモデルデータを扱う場合、悪意あるデータの読み込みを通じてサーバーが乗っ取られるリスクが考えられる。特に複数拠点でGPUクラスタを運用しAI推論基盤を大規模に展開している組織は、影響範囲の確認が急務となる。中小企業では、SGLangを直接構築・運用しているケースは限定的とみられるが、AIベンダーやSaaS提供元が内部でSGLangを利用している可能性がある。自社が直接扱っていなくても、委託先やクラウドAIサービスの提供元が対応済みかどうかを確認することが望ましい。
今すぐやるべきアクション
- 自社システムでSGLangを使用しているか確認する
- CERT/CCのVU#326070アドバイザリ原典を参照し、影響バージョンと修正状況を確認する
- 信頼できないソースから提供されたモデルファイルやデータの読み込みを制限する
- 外部委託先・AIサービス提供元にSGLang利用の有無と対応状況を問い合わせる
- 修正パッチが公開され次第、速やかに適用する
重大度の判定理由
重大度「高」: 任意コード実行につながりうる脆弱性パターンだが、悪用確認や修正版有無など詳細情報が原典公開時点で不明。