DeepSeek模型存在安全隐患，腾云悦智安全实验室推出Ollama安全防护保姆级教程，旨在帮助用户了解并解决相关问题，该教程详细介绍了如何保护DeepSeek模型免受攻击，确保数据安全，通过学习和实践教程中的方法，用户可以提升网络安全防护能力，保护自己的数据和系统免受威胁。

[MD:Title]

最近国产大模型DeepSeek的火热应用，促使不少开发者通过Ollama工具将其部署在本地服务器上，令人震惊的是，近九成的Ollama服务器因配置疏忽而直接暴露在公网上，处于“裸奔”状态，截止至2023年X月X日的数据显示，共有14,359台服务器在互联网上裸奔，其中中国境内的服务器占比最高，攻击者可随意窃取模型、滥用算力，甚至使服务器沦为“挖矿肉鸡”。

为了防止这种情况的发生，必须迅速采取行动来弥补这些漏洞，否则，辛苦训练的AI模型可能会为他人做嫁衣，腾云悦智安全实验室为此提供了五大必做防护措施，帮助您的服务器从“裸奔”转变为“铁桶”防御。

Ollama是一款支持DeepSeek-R1等1700+模型高效部署与管理的开源大型语言模型（LLM）本地化运行框架，最新安全研究显示，其默认配置存在重大安全风险，当服务端口（11434）暴露于公网且没有身份认证机制时,攻击者可远程调用高危API接口进行未授权操作。

腾云悦智安全实验室已成功复现此漏洞。

风险速览：您的服务器可能正被“白嫖”！

  1. 模型资产遭窃：攻击者可利用/api/push接口，直接将私有模型导出到远程服务器,使您的核心AI资产落入他人之手。
  2. 算力被疯狂占用：未授权接口可被恶意调用进行模型推理，占满GPU资源,导致服务瘫痪或云服务器费用激增。
  3. 系统沦为攻击跳板：利用路径遍历漏洞（如CVE-2024-37032），攻击者可覆盖系统文件并执行任意代码,进一步入侵内网。

紧急措施：立即封锁公网暴露！ 为了应对这一紧急状况,需要采取以下步骤：

  1. 关闭“暴露的大门”：在启动Ollama时添加环境变量，仅允许本机访问，如果必须在公网上开放，请通过防火墙限制11434端口仅允许可信IP访问，拒绝0.0.0.0全开放。
  2. 立即升级：针对Ollama存在的远程代码执行（CVE-2024-37032）和路径遍历（CVE-2024-45436）等高危漏洞，请立即执行升级操作,确保服务器安全。

核心加固：为API增加“双重锁”！ 为了进一步强化服务器的安全性,可以采取以下措施：

  1. 第一把锁：反向代理+密码认证，使用Nginx为Ollama添加Basic Auth认证,确保只有经过身份验证的用户才能访问API。
  2. 第二把锁：HTTPS加密防监听，申请SSL证书，并配置Nginx强制使用HTTPS,以确保数据在传输过程中的安全。

长效防护：安全运维指南 除了上述紧急措施外,还需要建立长期的安全防护策略：

  1. 修改默认服务端口：将服务端口修改为非常用的TCP端口,以降低被扫描和攻击的风险。
  2. 日志监控：定期检查Nginx访问日志,及时封禁异常IP地址。
  3. 模型来源审核：仅从DeepSeek官网或可信渠道拉取模型。
  4. 定期漏洞扫描：使用专业的漏扫软件或人工进行漏洞发现,确保服务器的安全性。

完成上述操作后，您的Ollama服务器就可以从“高危裸奔”状态升级为“企业级防护”。

关于我们：腾云悦智科技（深圳）有限责任公司是中国领先的云计算与人工智能综合服务提供商，我们的悦智安全实验室致力于为企业客户提供专业的安全风险评估与加固服务，我们深度检测隐患漏洞，构建全维度防护体系,为您的数字资产提供铜墙铁壁级的安全保障。