很多人接触本地大模型，都是从一句 `ollama run` 开始的。跟着教程装机时，有个很容易养成的习惯：把监听地址从 127.0.0.1 改成 0.0.0.0。B站10月到11月有几期视频都在讲这个改动的后果——你的显卡可能正在免费给陌生人跑推理。哔哩哔哩
Ollama的默认状态谈不上危险：它只监听 127.0.0.1:11434，只有本机的程序访问得到，外面用不了。但为了让手机、笔记本一起连上，教程和 Docker 示例经常直接写 0.0.0.0，等于把端口开在所有网卡上。
而11434上的 API 没有账号、没有密钥、也没有 IP 白名单，能连上就能用。任何连得上这个端口的人，都可以通过 `/api/tags` 看你电脑里装了哪些模型、调用你的显卡做推理，甚至直接删掉模型。默认的5分钟显存保活，还可以被连续请求无限续期，模型一直驻留，等着下一个进来的人。知乎哔哩哔哩知乎
一条视频评论把这个处境说得很直白：照抄教程改了全零监听之后，“自家显卡风扇呼呼转，自己卡成PPT，回头一看全在给别人白嫖算力做慈善”。哔哩哔哩
白嫖显卡只是这种暴露最便宜的结果。真正让老玩家紧张的是 CVE-2024-37032：Ollama 拉取模型时不校验清单里 digest 字段的格式，攻击者可以把它写成带 `…/…/` 的路径，跳出模型目录写到系统任意位置（比如 `/etc/ld.so.preload`），让每个新进程启动时加载指定库，最终远程执行代码。Docker 部署常以 root 运行，整台机器连着最高权限一起交出去。Wiz 在2024年5月报告该漏洞后，Ollama 当天提交修复，5月8日发布 0.1.34 版本修补。知乎
这类暴露也不止"手改监听"一种：云服务器安全组直接放行 11434、Docker 用 `-p` 做端口映射、FRP 和 Ngrok 内网穿透、公司局域网为了多设备共享改成 0.0.0.0，都会把同一个端口摆到扫描工具面前。Wiz 团队扫描公网时就发现过超过1000个暴露的 Ollama 实例，其中包含私有模型，这不是理论风险。这类工具的设计目标是让开发者三分钟跑起来，默认值方便优先，很多人把它当长期服务部署，默认却还停在开发模式。哔哩哔哩知乎
花一分钟做三件自查： 一是运行 `ollama --version`，低于 0.1.34 先升级；二是 Linux 跑 `ss -tlnp | grep 11434`、Windows 跑 `netstat -ano | findstr 11434`，地址列是 0.0.0.0 就说明门开着；三是最可靠的一条——从另一台设备访问 `http://那台机器IP:11434/api/tags`，打得开就是真的暴露了，配置文件写的和实际生效的经常不一致。{{{CUSTOM_HTML_TAG_8}}}
怎么修，看你想让谁访问。只在本机用，改回 127.0.0.1，不损失任何功能；局域网要用，就绑定那台机器的内网地址并用防火墙限制来源 IP，别用 0.0.0.0；人在外面要远程调用，用 Tailscale、WireGuard 组网或 SSH 转发，不直接开公网端口；确实要对外的服务，前面必须挂一层带认证的反向代理（Nginx 加 Basic Auth 和 HTTPS），Ollama 退到只监听本机。云服务器还要再查一遍安全组，不少人 Nginx 配好了，安全组里 0.0.0.0/0 还开着。知乎知乎
升级版本只修已知漏洞，没有认证本身是官方设计，文档明确说要靠反向代理补。升级不等于加固，两件事都得做。如果只是自己在电脑上跑模型，0.0.0.0 带不来任何便利。知乎
