一份模型文件，为什么能让程序写错内存？
你在电脑上打开一份来路不明的模型配套文件，原以为最坏只是“加载失败”，结果它却让程序把数据写到了不该写的内存位置。新披露的 CVE-2026-116096，指向的正是这种风险。
llama.cpp 是本地大模型推理的重要底层工具。许多人靠它在个人电脑或服务器上运行模型。本刊此前在 10 月 19 日、23 日和 26 日的报道中，关注的是它如何帮助消费级硬件运行量化模型和超长上下文；这一次，焦点从性能转向了工具链安全。
需要先说明：目前关于漏洞影响、利用条件和修复状态的材料，都来自同一篇 Reddit 帖子及其对 NVD 的转述，尚无第二个独立信源印证。
问题出在 Pocket-TTS
据该帖转述，漏洞位于 llama.cpp 的 Pocket-TTS 组件，具体涉及 tools/mtmd/models/pockettts-gen.cpp 文件中的 list_pockettts_state_slots 函数。攻击者可以操纵 mmproj 文件，触发 heap out-of-bounds write——也就是“堆内存越界写入”。
可以把内存想成一排已经划好编号的储物格。程序本应只往分给自己的格子里放东西，越界写入却会把内容塞进旁边的格子。后果可能是程序崩溃或数据受损；在严重情况下，还可能被用来改变程序行为。
GitHub 上的 PR #29360 给出了更具体的解释：恶意 mmproj 可以让“文件声明的状态槽尺寸”与真正要复制的张量尺寸不一致。张量可以简单理解为模型处理数据时使用的多维数字数组。两套尺寸一旦分叉，生成过程刷新状态时，就可能继续向堆缓冲区之外写数据。
攻击门槛不等于没有风险
帖子称，这一漏洞需要“本地访问”才能利用。也就是说，攻击者通常得先能在目标机器上运行程序，或者操纵程序读取的本地输入；它不是只靠网络请求就能远程触发的漏洞。
但这个条件不能直接翻译成“可以忽略”。对于会下载、交换或导入模型相关文件的用户，文件本身就是输入边界。帖子还转述称，公开 exploit 已经出现，不过材料没有给出 exploit 的来源，也没有提供有效性验证，因此目前只能谨慎看待这一说法。
新版拦住了，但算不算彻底修好？
修复状态存在一处关键张力。帖子对 NVD 信息的转述称，升级到 b11796 可以解决问题，对应补丁为 0a1ef309cdbb9f2024f58a38fb4c42352c5db569。但同一帖子又称，在当前 master 和最新版本 b11871 中，恶意 mmproj 会触发 release 模式下仍生效的 GGML_ASSERT，随后程序中止。
这意味着，原先那条“悄悄写出堆边界”的路径受到了阻断，但处理方式更像门卫发现证件不对便立刻关门：程序会退出，而不是从构造上保证错误尺寸永远无法出现。崩溃本身仍可能造成拒绝服务，也就是让程序无法继续提供功能。
研究者 3em0 在 2026 年 9 月 24 日提交的 PR #29360，主张直接按照实际张量大小分配空间，不再依赖事后比较两个可能不一致的数字。一个月后 CVE 才公开，而截至供稿所述时，这个名为“prevent OOB accesses from malformed mmproj files”的 PR 仍处于开放状态。
现在该怎么判断？
对用户来说，材料支持的稳妥结论是：受影响组件应尽快升级，至少不要继续停留在已知存在静默越界写入路径的版本。但不宜把 b11796 或 b11871 描述成“已经彻底根治”。现有信息只能说明，新版会检测异常并终止进程；旨在从设计上消除尺寸分叉的补丁尚未合并。
这件事也暴露了开源工具的现实处境。llama.cpp 的 Security Policy 一面称私人披露计划暂停、邮件不会回复并建议直接提交公开 PR，另一面又要求研究者私下报告并预留至少 90 天修复期。维护者解释，项目主要依靠志愿者，也并非所有实验组件都在完整安全承诺之内。此次漏洞先出现公开补丁、后获得 CVE 编号，正好呈现了流程与资源之间的落差。
局限与未知
- “公开 exploit 已出现”目前只有转述，来源与有效性尚未得到独立验证。
- 材料没有提供跨平台、跨构建配置的测试，不能把“触发断言后退出”扩大为所有环境下都不可利用。
- PR #29360 仍未合并，因此目前更准确的说法是风险路径已被拦截，而不是根因已经从设计上消失。