Wenn Sie beim offiziellen Ollama-Image den Port 11434:11434 veröffentlichen, liegt eine API ohne Passwort auf jeder Netzwerkschnittstelle Ihres GPU-Servers, und WEBUI_AUTH=False bei einem veröffentlichten Open WebUI macht jeden Besucher zum Administrator, der Python auf dem Server ausführen kann. Dieser Skill findet diese und neun weitere Fehler beim Selbst-Hosting von LLMs, bevor Sie den Server erreichbar machen, und erklärt Ihnen, wie Sie jeden einzelnen beheben.

Ihr Agent führt einen Scanner über Ihre Compose-Dateien, Kubernetes-Manifeste, Dockerfiles, systemd-Units und Drop-ins, .env-Dateien und LiteLLM-Proxy-Konfigurationen aus. Er erkennt jeden Server an seinem Image oder Befehl und kennt dessen Standardwerte: Die offiziellen Images von Ollama und llama.cpp lauschen auf allen Schnittstellen, ollama serve und llama-server direkt auf dem Host lauschen auf 127.0.0.1, und vLLM, LocalAI, TGI und der LiteLLM-Proxy lauschen auf allen Schnittstellen, sofern nicht anders angegeben. Ein auf 127.0.0.1 veröffentlichter Port, eine Bindung an eine einzelne LAN- oder VPN-Adresse und ein interner Cloud-Load-Balancer werden nicht gemeldet; Einstellungen, die ein Container aus einer ConfigMap im selben Manifest bezieht, gelten als seine eigenen; ${VAR}, secretKeyRef und LiteLLM-Umgebungsverweise gelten als Verweise, und Platzhalterschlüssel wie fake-key oder EMPTY für ein Backend, das keinen Schlüssel braucht, gelten nicht als Secrets. Jeder Befund zu einem offenen Port nennt den eigenen Port, die Bind-Einstellung und die Schlüssel-Einstellung des jeweiligen Servers. Er startet niemals einen Server, einen Container oder ein Modell. Er liefert BLOCK, REVIEW oder NOT FLAGGED, jeweils mit Datei, Zeile, Begründung und einem sichereren Vorgehen. Secrets werden nie ausgegeben.

Was geprüft wird

BLOCK (vor der Auslieferung beheben)

• L01: ein Ollama-, vLLM-, llama.cpp-Server, LocalAI, TGI oder LiteLLM-Proxy, der aus dem Netzwerk erreichbar ist (veröffentlichter Port, Host-Netzwerk, LoadBalancer- oder NodePort-Service, Bindung an 0.0.0.0), ohne API-Schlüssel
• L02: API-Schlüssel (einschließlich Schlüssellisten wie OPENAI_API_KEYS), Master-Schlüssel, Tokens und Passwörter, die direkt in Compose-, Kubernetes-, Dockerfile-, systemd- oder LiteLLM-Konfigurationsdateien oder auf der Kommandozeile stehen
• L03: Open WebUI mit abgeschaltetem WEBUI_AUTH und aus dem Netzwerk erreichbar
• L04: Open WebUI mit DEFAULT_USER_ROLE=admin, während Registrierung, OAuth-Registrierung, LDAP oder Header-Login Konten anlegen können

REVIEW (vor dem Release prüfen)

• L11: --trust-remote-code ohne auf einen Commit fixierte Revision
• L12: * in OLLAMA_ORIGINS, vLLM --allowed-origins und anderen CORS-Einstellungen sowie vLLM-Versionen vor 0.32.0, deren Standard jeden Origin erlaubte
• L13: Registrierung bei Open WebUI ohne Freigabe (Rolle user) oder admin als Standardrolle
• L14: Images von Modellservern ohne Version im Tag (latest, main, server-cuda)
• L15: API- oder UI-Ports, die über unverschlüsseltes HTTP veröffentlicht sind, einschließlich vLLM-Pfaden, die sein --api-key nicht abdeckt
• L16: vLLM-Entwicklermodus, unsichere Serialisierung oder weitreichender Zugriff auf lokale Mediendateien sowie llama-server --props
• L17: Schlüssel und Passwörter mit Beispiel- oder Standardwerten aus der Dokumentation oder ein Platzhalterwert, der als eigener Schlüssel eines Servers verwendet wird

Lieferumfang

• Der Scanner (Python 3.9+, nur Standardbibliothek)
• Ein Regelleitfaden mit Begründung, sichererem Vorgehen und ein Link zur offiziellen Dokumentation für jede Regel
• Ein riskantes und ein sicheres Beispielprojekt sowie der echte Bericht, den der Scanner für das riskante erzeugt

Grenzen

Er liest jede Datei für sich: Ein Service, eine ConfigMap oder eine .env-Datei in einer anderen Datei wird nicht mit ihrem Server verknüpft, und docker-run-Befehle in Skripten werden nicht gelesen. Firewalls, Cloud-Sicherheitsgruppen und Reverse Proxys, die an anderer Stelle konfiguriert sind, sind nicht sichtbar, und im Admin-Bereich von Open WebUI geänderte Einstellungen werden nicht geprüft. SGLang, TabbyAPI und LM Studio werden nicht abgedeckt. Die Port-Zuordnungen aus den Schnellstartanleitungen von Ollama und llama.cpp werden absichtlich gemeldet, weil sie eine API ohne Schlüssel auf allen Schnittstellen veröffentlichen. NOT FLAGGED ist keine Garantie.

Inhalt

Eine ZIP-Datei mit 20 Dateien: SKILL.md, der Scanner in scripts/ (5 Python-Dateien), references/rules.md (jede Regel mit Begründung und sichererem Vorgehen) und examples/ (12 Beispieldateien plus report.md, die echte Ausgabe des Scanners für das riskante Beispiel).

So verwenden Sie es: Dies ist ein Agent-Skill: ein Ordner mit einer Datei SKILL.md und Python-Skripten, die ein KI-Coding-Agent wie Claude Code, Cursor oder Codex CLI ausführen kann. Entpacken Sie ihn in den Skills-Ordner Ihres Agenten (für Claude Code: ~/.claude/skills/) und bitten Sie Ihren Agenten dann, Ihr Projekt zu prüfen. Die Skripte laufen auch eigenständig mit Python 3.9 oder neuer, ohne dass etwas installiert werden muss. Sie lesen nur Ihre Dateien: kein Netzwerkzugriff, und nichts wird irgendwohin gesendet.