Публикация порта 11434:11434 для официального образа Ollama открывает API без пароля на всех сетевых интерфейсах вашего GPU-сервера, а WEBUI_AUTH=False в опубликованном Open WebUI делает каждого посетителя администратором, который может выполнять Python на сервере. Этот навык находит такие ошибки и еще девять других ошибок при самостоятельном размещении LLM до того, как вы откроете доступ к серверу, и подсказывает, как исправить каждую из них.

Ваш агент запускает сканер для ваших файлов Compose, манифестов Kubernetes, Dockerfile, юнитов systemd и drop-in файлов, файлов .env и конфигураций прокси LiteLLM. Сканер распознает каждый сервер по образу или команде и знает его поведение по умолчанию: официальные образы Ollama и llama.cpp слушают все интерфейсы, ollama serve и llama-server на голом хосте слушают 127.0.0.1, а vLLM, LocalAI, TGI и прокси LiteLLM слушают все интерфейсы, если не указано иное. Порт, опубликованный на 127.0.0.1, привязка к одному адресу локальной сети или VPN и внутренний облачный балансировщик нагрузки не считаются проблемой; параметры, которые контейнер получает из ConfigMap в том же манифесте, считаются его собственными; ${VAR}, secretKeyRef и ссылки на переменные окружения LiteLLM считаются ссылками, а фиктивные ключи вроде fake-key или EMPTY для бэкенда, которому ключ не нужен, не считаются секретами. Каждая находка об открытом порте называет собственный порт этого сервера, параметр привязки и параметр ключа. Сканер никогда не запускает сервер, контейнер или модель. Результат: BLOCK, REVIEW или NOT FLAGGED с указанием файла, строки, причины и более безопасного подхода. Секреты никогда не выводятся.

Что проверяется

BLOCK (исправить до выпуска)

• L01: сервер Ollama, vLLM, llama.cpp, LocalAI, TGI или прокси LiteLLM, доступный из сети (опубликованный порт, сеть хоста, Service типа LoadBalancer или NodePort, привязка к 0.0.0.0), без API-ключа
• L02: API-ключи (включая списки ключей, например OPENAI_API_KEYS), мастер-ключи, токены и пароли, прописанные в файлах Compose, Kubernetes, Dockerfile, systemd или конфигурации LiteLLM либо в командной строке
• L03: Open WebUI с отключенным WEBUI_AUTH, доступный из сети
• L04: Open WebUI с DEFAULT_USER_ROLE=admin, когда регистрация, регистрация через OAuth, LDAP или вход по заголовку позволяют создавать учетные записи

REVIEW (проверить перед релизом)

• L11: --trust-remote-code без ревизии, закрепленной на коммите
• L12: * в OLLAMA_ORIGINS, vLLM --allowed-origins и других настройках CORS, а также версии vLLM до 0.32.0, которые по умолчанию разрешали любой источник
• L13: регистрация в Open WebUI без одобрения (роль user) или admin в качестве роли по умолчанию
• L14: образы серверов моделей без версии в теге (latest, main, server-cuda)
• L15: порты API или интерфейса, опубликованные по обычному HTTP, включая пути vLLM, на которые не распространяется его --api-key
• L16: режим разработки vLLM, небезопасная сериализация или широкий доступ к локальным медиафайлам, а также llama-server --props
• L17: ключи и пароли с примерными или стандартными значениями из документации либо фиктивное значение, используемое как собственный ключ сервера

Что входит в комплект

• Сканер (Python 3.9+, только стандартная библиотека)
• Руководство по правилам: для каждого правила указаны причина, более безопасный подход и ссылка на официальную документацию
• Рискованный и безопасный примеры проекта, а также реальный отчет, который сканер выдает для рискованного примера

Ограничения

Каждый файл анализируется отдельно: Service, ConfigMap или файл .env, хранящиеся в другом файле, не связываются со своим сервером, а команды docker run в скриптах не читаются. Файрволы, облачные группы безопасности и обратные прокси, настроенные в другом месте, не видны, а настройки Open WebUI, измененные в его панели администратора, не проверяются. SGLang, TabbyAPI и LM Studio не поддерживаются. Сопоставления портов из быстрого старта Ollama и llama.cpp отмечаются намеренно, потому что они публикуют API без ключа на всех интерфейсах. NOT FLAGGED не является гарантией.

Содержимое

Один ZIP-файл, в нем 20 файлов: SKILL.md, сканер в scripts/ (5 файлов Python), references/rules.md (каждое правило с причиной и более безопасным подходом) и examples/ (12 файлов с примерами, а также report.md, реальный отчет сканера по рискованному примеру).

Как использовать: Это навык для ИИ-агента: папка с файлом SKILL.md и скриптами на Python, которые может запускать ИИ-агент для программирования, например Claude Code, Cursor или Codex CLI. Распакуйте архив в папку навыков вашего агента (для Claude Code: ~/.claude/skills/), а затем попросите агента проверить ваш проект. Скрипты также работают самостоятельно с Python 3.9 или новее, ничего устанавливать не нужно. Они только читают ваши файлы: никакого доступа к сети, никуда ничего не отправляется.