Publicar el puerto 11434:11434 en la imagen oficial de Ollama deja una API sin contraseña en todas las interfaces de red de tu servidor con GPU, y WEBUI_AUTH=False en un Open WebUI publicado convierte a cada visitante en un administrador que puede ejecutar Python en el servidor. Esta habilidad detecta esos errores y otros nueve errores de LLM autoalojados antes de que expongas el servidor, y te explica cómo corregir cada uno.

Tu agente ejecuta un escáner sobre tus archivos Compose, manifiestos de Kubernetes, Dockerfiles, unidades y drop-ins de systemd, archivos .env y configuraciones del proxy de LiteLLM. Reconoce cada servidor por su imagen o comando y conoce sus valores por defecto: las imágenes oficiales de Ollama y llama.cpp escuchan en todas las interfaces, ollama serve y llama-server directamente en el host escuchan en 127.0.0.1, y vLLM, LocalAI, TGI y el proxy de LiteLLM escuchan en todas las interfaces salvo que se indique lo contrario. No se informan un puerto publicado en 127.0.0.1, un enlace a una sola dirección de LAN o VPN ni un balanceador de carga interno en la nube; los ajustes que un contenedor toma de un ConfigMap del mismo manifiesto cuentan como propios; ${VAR}, secretKeyRef y las referencias de entorno de LiteLLM cuentan como referencias, y las claves ficticias como fake-key o EMPTY para un backend que no necesita ninguna no son secretos. Cada hallazgo de puerto abierto indica el puerto propio de ese servidor, su ajuste de enlace y su ajuste de clave. Nunca inicia un servidor, un contenedor ni un modelo. Devuelve BLOCK, REVIEW o NOT FLAGGED, con el archivo, la línea, el motivo y una alternativa más segura. Los secretos nunca se muestran.

Qué comprueba

BLOCK (corregir antes de publicar)

• L01: un servidor de Ollama, vLLM o llama.cpp, LocalAI, TGI o el proxy de LiteLLM accesible desde la red (puerto publicado, red del host, Service LoadBalancer o NodePort, enlace a 0.0.0.0) sin clave de API
• L02: claves de API (incluidas listas de claves como OPENAI_API_KEYS), claves maestras, tokens y contraseñas escritos en archivos de configuración de Compose, Kubernetes, Dockerfile, systemd o LiteLLM, o en la línea de comandos
• L03: Open WebUI con WEBUI_AUTH desactivado y accesible desde la red
• L04: Open WebUI con DEFAULT_USER_ROLE=admin mientras el registro, el registro por OAuth, LDAP o el inicio de sesión por cabecera pueden crear cuentas

REVIEW (revisar antes del lanzamiento)

• L11: --trust-remote-code sin una revisión fijada a un commit
• L12: * en OLLAMA_ORIGINS, vLLM --allowed-origins y otros ajustes de CORS, y versiones de vLLM anteriores a 0.32.0 cuyo valor por defecto permitía cualquier origen
• L13: registro en Open WebUI sin aprobación (rol user), o admin como rol por defecto
• L14: imágenes de servidores de modelos sin versión en la etiqueta (latest, main, server-cuda)
• L15: puertos de API o de interfaz publicados por HTTP sin cifrar, incluidas las rutas de vLLM que su --api-key no cubre
• L16: modo de desarrollo de vLLM, serialización insegura o acceso amplio a medios locales, y llama-server --props
• L17: claves y contraseñas con valores de ejemplo o por defecto de la documentación, o un valor ficticio usado como clave propia de un servidor

Qué incluye

• El escáner (Python 3.9+, solo biblioteca estándar)
• Una guía de reglas con el motivo, una alternativa más segura y el enlace a la documentación oficial de cada regla
• Un proyecto de ejemplo con riesgos y otro seguro, y el informe real que genera el escáner sobre el de riesgo

Limitaciones

Lee cada archivo por separado: un Service, un ConfigMap o un archivo .env guardado en otro archivo no se vincula con su servidor, y los comandos docker run de los scripts no se leen. No se ven los firewalls, los grupos de seguridad en la nube ni los proxies inversos configurados en otro lugar, y no se comprueban los ajustes de Open WebUI cambiados en su panel de administración. SGLang, TabbyAPI y LM Studio no están cubiertos. Las asignaciones de puertos de las guías de inicio rápido de Ollama y llama.cpp se informan a propósito, porque publican una API sin clave en todas las interfaces. NOT FLAGGED no es una garantía.

Contenido

Un archivo ZIP con 20 archivos: SKILL.md, el escáner en scripts/ (5 archivos de Python), references/rules.md (cada regla con su motivo y una alternativa más segura) y examples/ (12 archivos de ejemplo más report.md, la salida real del escáner sobre el ejemplo de riesgo).

Cómo usarlo: Es una habilidad (skill) para agentes: una carpeta con un archivo SKILL.md y scripts de Python que puede ejecutar un agente de programación con IA como Claude Code, Cursor o Codex CLI. Descomprímela en la carpeta de skills de tu agente (para Claude Code: ~/.claude/skills/) y después pide a tu agente que revise tu proyecto. Los scripts también funcionan por sí solos con Python 3.9 o posterior, sin instalar nada. Solo leen tus archivos: sin acceso a la red y sin enviar nada a ninguna parte.