Sécurité des LLM Locaux: Protection Ollama et vLLM
Protégez vos serveurs d'inférence IA locaux avec Ollama et vLLM contre les fuites de mémoire VRAM et les injections indirectes en 2026.
La sécurité des LLM locaux constitue en 2026 un défi architectural majeur pour les entreprises traitant des informations stratégiques. Face au déploiement massif de serveurs d'inférence internes basés sur Ollama, vLLM et llama.cpp pour préserver la confidentialité sans recourir aux services cloud publics, de nouveaux risques liés à la gestion de la mémoire GPU et à l'exposition des API REST ont émergé.
L'hypothèse selon laquelle l'exécution en local assure une protection automatique est réfutée par les vulnérabilités d'exfiltration de mémoire graphique (VRAM) observées dans des infrastructures mal cloisonnées.
Gestion de la VRAM et Risques de Fuite dans le Cache KV
Les moteurs récents comme vLLM utilisent l'algorithme PagedAttention pour découper la mémoire d'attention (Key-Value Cache) en blocs dynamiques. Toutefois, lorsque plusieurs utilisateurs ou agents partagent la même carte graphique, l'absence de purge systématique des tampons GPU peut laisser subsister des tenseurs résiduels.
Une requête habilement formulée peut forcer le modèle à générer des complétions intégrant des fragments de requêtes antérieures, exposant des clés d'API, des données médicales ou du code source confidentiel.
Pour auditer vos endpoints d'inférence et détecter des ports ouverts, utilisez notre Scanner de Menaces et Sécurité.
Tableau des Vecteurs d'Attaque en Inférence Locale
| Vecteur d'Attaque | Moteur Concerné | Impact Technique | Mesure de Protection |
|---|---|---|---|
| API REST Non Sécurisée (0.0.0.0) | Ollama / vLLM | Exécution et téléchargement non authentifiés de modèles | Reverse proxy Nginx avec mTLS / Pare-feu |
| Fuite Résiduelle du Cache KV | vLLM / llama.cpp | Lecture croisée de fragments de contexte | Forcer --enforce-eager ou isolation par conteneur |
| Injection Indirecte de Prompt | Outils Ollama | Exécution non contrôlée d'utilitaires système | Validation stricte des schémas et sandboxing |
| Déni de Service par Saturation VRAM | Moteurs Locaux | Panique du pilote CUDA et arrêt du service | Limitation de max_model_len et quotas de tokens |
Sécurisation Pratique d'Ollama et vLLM en Production
Le durcissement d'un serveur d'inférence impose d'interdire l'écoute globale sur 0.0.0.0 et de restreindre les privilèges système.
Configuration Systemd durcie pour le service Ollama sous Linux :
[Service]
Environment="OLLAMA_HOST=127.0.0.1:11434"
Environment="OLLAMA_ORIGINS=https://app.entreprise.internal"
Environment="OLLAMA_NUM_PARALLEL=4"
# Restrictions de privilèges du noyau Linux
ProtectSystem=strict
ProtectHome=true
NoNewPrivileges=true
PrivateTmp=true
Pour les déploiements vLLM multi-utilisateurs :
# Lancement sécurisé de vLLM avec contrôle d'accès et limite de VRAM
python3 -m vllm.entrypoints.openai.api_server \
--model meta-llama/Llama-3.3-70B-Instruct \
--gpu-memory-utilization 0.85 \
--max-model-len 8192 \
--disable-log-requests \
--api-key "${VLLM_INTERNAL_API_KEY}"
L'option --disable-log-requests évite le stockage non chiffré des requêtes textuelles dans les journaux système.
Recommandations pour l'Isolation d'Inférence
Pour garantir une sécurité rigoureuse de vos charges d'IA :
- Isolation Kernel avec gVisor : Utilisez le runtime
runscpour filtrer les appels système des conteneurs GPU. - Cloisonnement Réseau : Placez les machines équipées de GPU dans un VLAN dédié, accessible uniquement par la passerelle d'API.
- Vérification Cryptographique des Modèles : Contrôlez systématiquement le hash SHA-256 des fichiers
.safetensors, conformément aux directives de notre guide sur l'Intégrité des Fichiers et Signatures. - Validation des Réponses JSON : Contrôlez les structures générées par l'IA à l'aide de notre Validateur et Formateur JSON.
- Surveillance Télémétrique : Activez des alertes sur les pics d'utilisation VRAM pour prévenir les saturations délibérées.
Synthèse
L'hébergement local de modèles de langage garantit la souveraineté des données, sous réserve d'appliquer les mêmes normes de durcissement qu'aux bases de données critiques. L'écoute sur localhost, l'authentification mTLS et la purge des tampons VRAM assurent une inférence robuste.
Références et Standards :
- OWASP Top 10 for LLM Applications (2025/2026).
- Recherche TecnoCrypter: Confidentialité et Sécurité des LLM.
- Étude Technique: Sécurité de la Chaîne d'Approvisionnement Logicielle et IA.
