Skip to main content
在 2026 年一月，SentinelLABS 与 Censys 联合发布了研究报告，统计出 约 175,000 台位于 约 130 个国家的 Ollama 服务器暴露在公网之中——相关内容可参见 SentinelOne 发布的原文；该数据亦被 The Hacker News 与 SecurityWeek 相继转载。调研结果显示，约半数暴露在外的服务器均支持工具调用功能，这意味着它们不仅能处理普通对话请求，还能执行代码。 这并非 Ollama 本身的漏洞，只是多数用户从未修改过的默认设置罢了。

​
相关安全漏洞的产生机制

Ollama 默认仅在 127.0.0.1:11434 端口监听请求——该端口仅限本机访问，外部设备根本无法连接。若需让局域网内其他设备、手机、另一台电脑甚至远程运行的编程代理也能访问该服务，常见的解决方式如下：
只需设置一个环境变量，即可将监听地址从本机回环地址切换为所有网络接口。再配合路由器端口转发、云虚拟机的公网 IP 配置或临时开放的防火墙规则，11434 端口即可对全互联网开放，不再局限于局域网范围。默认情况下该端口并无任何身份验证机制，因此任何发现该端口的用户均可直接调用相关 API：查询可用模型、执行推理运算；对于支持工具调用的服务器而言，甚至还能借助模型触发代码执行操作。 这正是 Shodan、Censys 这类批量扫描工具专门搜寻的目标模式。此类风险无需针对性攻击即可触发，仅需执行一次端口扫描即可实现。
这本质上属于配置层面的问题，并非 Ollama 本身的缺陷。类似的安全隐患——即监听地址设置为全接口、端口对外开放且未设置身份验证机制——同样存在于各类本地模型服务器中，并不仅限于 Ollama。

​
为何仅添加身份验证机制无法彻底解决问题

在 0.0.0.0:11434 端口前部署具备基础身份验证功能的反向代理确实能提升安全性，但无法根除根本隐患：该端口始终处于监听状态，且网络路径中的相关组件也必须保持对外可访问状态才能维持代理正常运行。 从反向代理、防火墙规则、端口转发设置到 TLS 证书配置，每一个面向入站请求的组件都必须长期保持正确配置状态。只要其中任一环节出现配置失误，甚至在调试过程中临时修改了设置，端口便会再度处于开放状态。

​
另一种方案：干脆不开放任何入站端口

Tokios takes a different approach: the tokios-connector you run next to your model never listens for inbound traffic. It opens a single outbound wss:// connection to https://api.tokios.com — the same direction your browser already uses to load a webpage — and Tokios routes requests back over that connection. There is no port to forward, no firewall rule to open, and nothing bound to 0.0.0.0. 所有能够抵达模型的请求都必须携带限定了使用范围的 sk-tok-… API 密钥，只有在验证通过后 Tokios 才会将其通过隧道转发至连接器。这些密钥可依据模型名称模式限定其适用的部署范围，也可随时轮换、禁用或删除；一旦密钥被撤销，其认证效力即刻失效。 需要明确的是：仅具备出站能力的连接器从结构上来说根本不存在可对外暴露的入站接口。这属于连接模型层面的差异，而非某种安全层面的绝对保障。Tokios 也并未宣称能杜绝所有因模型暴露而引发的滥用风险——一旦 API 密钥泄露，其带来的危害与普通密码泄露并无二致。其实质意义更为具体且技术化：由于根本不存在监听端口，扫描器也就无从探测到任何端口。
若您目前正借助 OLLAMA_HOST=0.0.0.0 实现 Ollama 的远程访问，那么 175,000 主机编号所代表的正是此类部署模式。您只需将模型重新部署至 127.0.0.1，再通过仅具备出站功能的连接器进行访问即可——具体切换方法可参阅 Ollama 远程访问。

​
实际运行效果示例

1

按默认设置让 Ollama 在本地回环地址上运行即可

无需设置 OLLAMA_HOST 覆盖参数，也无需启用绑定至所有接口的标识。
2

随后完成连接器配对操作

tokios-connector 会主动向 https://api.tokios.com 发起连接请求，随后静候您在控制台中予以确认。此步骤绝不会在您的电脑或路由器上开启任何端口。
3

此时您便能从任意位置调用该模型了

请求中必须包含有效且范围受限的 sk-tok-… 密钥，否则请求根本无法抵达您的连接器。
对于处于运营商级 NAT（CGNAT）环境下的用户而言情况也是如此：端口转发不仅不被推荐，从架构层面来说根本无法实现，因为您的路由器没有公网 IP 可供转发。请参阅 在 CGNAT 环境下提供本地大语言模型服务，了解其背后的原因以及这种仅允许出站连接的机制如何规避该问题。

​
总结要点

The 175,000-host figure is a scan result, not a prediction about any specific server. But the pattern behind it is simple and worth remembering regardless of the exact count: inbound reachability plus no auth is the whole problem. Removing the inbound part removes an entire category of “how did they even find this” incidents, because there’s nothing listening to find.

快速入门

配置连接器、注册模型并发送您的首个请求即可。

Ollama 远程访问设置

将原本已对外开放的 Ollama 服务重新绑定至本地回环地址，之后通过 Tokios 实现对该服务的访问。

Tokios 的请求路由机制

全面了解这种仅允许出站连接的架构设计。