Let's take a drive.

ローカルでAIモデルを動かす定番ツールllama.cppで、音声まわりの脆弱性が話題になっています。Redditのr/LocalLLaMAに「PSA: llama.cpp CVE-2026-116096」という注意喚起が投稿されました[1]。PSAは「注意喚起」を意味する言葉です。以前取り上げたCUDA最適化の高速化は「速さ」の話でしたが、今回は道具の安全性が問われる話です。脆弱性データベース各所に登録され、セキュリティ系サイトでも解説が並んでいます。

CVE-2026-116096の弱点があるのは、tools/mtmd/models/pockettts-gen.cppにあるlist_pockettts_state_slotsという関数です。音声を生成するセッションの状態を一覧する処理のようです[1][3]。Pocket-TTSは、llama.cppのツール群に含まれる音声生成の機能です[2]。きっかけになるのは、mmprojという引数、つまり読み込むファイルの指定の操作です。mmprojは、テキスト用のモデルに画像や音声を扱わせるための追加ファイルです。これを悪意あるものに差し替えると問題が起きます。ヒープ(プログラムが動的に確保するメモリ領域)をはみ出して書き込む、いわゆるアウト・オブ・バウンズ・ライトです[1][2]。マルチモーダル対応で追加ファイルを配布元からダウンロードする利用者は多く、身近な経路になり得ます。

攻撃にはローカルアクセスが必要とされています[1]。ネットワーク経由で外部から直接攻められるタイプではない、ということです。CVETodoの分析でも、低権限のローカル利用者が部分的に侵害できる脆弱性と整理されています[2]。危ういのは、共有マシンやサーバーで、出所不明のモデルファイルを読ませる使い方です。モデルや拡張ファイルをコミュニティでやり取りするカルチャーの中では、そうした場面は少なくありません。米国の脆弱性データベースNVDの説明では、エクスプロイト(攻撃コード)が公開されており、攻撃に使われ得るとされています[1]。エクスプロイトが公開された以上、高度なハッカーでなくても攻撃を試せる状態になるかもしれません。一方でCVETodoの追跡では、公開から現場での悪用までを段階で追う指標上、このCVEは10月25日時点で最も初期の段階にあります。公開エクスプロイトへの参照は確認されておらず、悪用が確認された脆弱性を集めるCISA KEVにも未登録です[2]。深刻度はMedium(中程度)との評価です[4]。

対処は、バージョンb11796への更新です[1][3]。llama.cppのリリースは、b11796のようなビルド番号で管理されています。修正パッチ(0a1ef309cdbb9f2024f58a38fb4c42352c5db569)が当てられた版です[1]。CVETodoによれば、55abc39やb5693、b9060など複数のビルドが影響を受けたバージョンとして挙げられています[2]。弱点の型はCWE-119、つまりメモリの境界チェック漏れが引き起こす一連の問題に分類されます[2]。VulnersやOpenCVEなど、脆弱性データベース各所にも登録済みです[4][4]。

しかし、注意喚起を投稿した報告者の追試が示したのは「完全な解決ではない」という点です。報告によれば、現行のmasterと最新リリースb11871では状況が変わっています。問題を引き起こしていた悪意あるmmprojは、リリース版でも有効なGGML_ASSERTに引っかかって止まるのです[1][3]。GGML_ASSERTは、llama.cppの基盤ライブラリに組み込まれた、異常を検知して強制停止させる仕組みです。音声生成のgen-audio経路で、静かにメモリを壊す書き込みはもう起きません[1][3]。ところが、原因そのものを構造で防ぐ修正は、いまだ統合されていません。PR #29360「不正なmmprojファイルによる領域外アクセスの防止」がそれです[1][3]。つまり現状は「検知して止める」方式であり、「そもそも起こらない」設計にはなっていないのです。

ローカル推論の魅力は、好きなモデルファイルを自分のマシンで動かせることです。だからこそ、配布物をそのまま信じない仕組みが重要になります。音声や画像など、llama.cppが扱う機能は広がっており、ファイルの種類が増えるほど境界チェックの対象も増えていくと思われます。今回の件は、b11796以降に更新しておけば実害は抑えられる見込みです。こうした修正を追いかける有志のまとめ(GitHubのllama-cpp-security-patches)も現れており、注目の高さがうかがえます[6]。検知して止める段階から、不正なファイルをそもそも通さない設計へ進むか。PR #29360の行方が、今後の注目点になりそうです。

引用ソース

1. Reddit Reddit r/LocalLLaMA: PSA: llama.cpp CVE-2026-116096 — https://www.reddit.com/r/LocalLLaMA/comments/1xfizft/psa_llamacpp_cve2026116096/
   

   PSA: llama.cpp CVE-2026-116096

2. Web記事 記事全文: CVE-2026-116096: Ggml Org Llama Cpp Buffer Overflow – CVETodo — https://cvetodo.com/cve/CVE-2026-116096
   

   Score blends CVSS, EPSS, exploit availability and CISA KEV status · as of 25 October 2026 · How this is calculated — Methodology §5–7
   CVE-2026-116096 allows low-privileged local users to partially compromise Ggml Org Lla

3. Web記事 記事全文: CVE-2026-116096: ggml-org llama.cpp: A weakness has been … – Rapid7 — https://www.rapid7.com/db/vulnerabilities/cve-2026-116096/
   

   A weakness has been identified in ggml-org llama.cpp. Affected by this issue is the function list_pockettts_state_slots of the file tools/mtmd/models/pockettts-gen.cpp of the component Pocket-TTS. This manipulation of th

4. Web記事 Web検索: CVE-2026-116096 – Medium Severity Vulnerability | CVE Watchtower — https://securityonline.info/cve-watchtower/cve-2026-116096/
   

   CVE-2026-116096 – Medium Severity Vulnerability | CVE Watchtower

5. Web記事 Web検索: CVE-2026-116096 – vulnerability database | Vulners.com — https://vulners.com/cve/CVE-2026-116096
   

   CVE-2026-116096 – vulnerability database | Vulners.com

6. Web記事 Web検索: llama-cpp-security-patches/README.md at main – GitHub — https://github.com/Vladimir-tokarev-cyera/llama-cpp-security-patches/blob/main/README.md
   

   llama-cpp-security-patches/README.md at main – GitHub

7. Web記事 Web検索: CVE-2026-116096 – Vulnerability Details – OpenCVE — https://app.opencve.io/cve/CVE-2026-116096
   

   CVE-2026-116096 – Vulnerability Details – OpenCVE

※ 本記事はAIにより、Reddit・Hacker News・5ch・Xトレンドの公開投稿・トレンドを軸に、その話題をWeb検索で深掘りして集めた一次情報(記事全文・HNコメント)を併せて自動生成されました。本文中の[n]は末尾の引用ソース番号です。内容の正確性は保証されません。引用先を必ずご確認ください。

• Tweet