うちのローカルAIは外から叩けるのか？〜Ollamaを動かしているPCの安全性を確かめた
手元のパソコンでローカルLLMを動かしていると、家の中のスマートフォンや別のパソコンからも使いたくなります。これは、設定を変えれば、簡単にできるようになります。
ところが、その設定を入れたローカルLLMが世界中から見える状態になっていた、という調査結果が公開されています。自分の環境は、いま外から叩ける状態になってしまっているのでしょうか？
2026年9月時点の内容です。
何を調べ、何を確かめたのか
- ローカルLLMを動かすソフト Ollama が、既定でどこからの接続を受けるのか（公開されている資料）
- 2026年に公表された、外から届く状態だったときに何が起きるのかという報告（調査）
- 手元で動いている2台が、いまどうなっているか（実測）
Ollama は、既定では自分のパソコンからしか受け付けない
Ollama は入れたままの状態だと、自分のパソコンの中（127.0.0.1、いわゆる localhost）からの接続だけを受け取ります。同じ家のWi-Fiに繋がった別の機械からは届きません。
この受け入れ範囲を変えるのが OLLAMA_HOST という設定です。ここに 0.0.0.0 を指定すると、パソコンが持っているすべての口で接続を受けます。家の別の機械から使いたいとき、検索して最初に出てくるのがこの方法です。
問題は、Ollama には利用者を確認する仕組みが無いことです。届いた要求は、誰からのものでもそのまま処理されます。家の中だけに開けたつもりが、ルーターの設定や契約している回線の作りによっては、そのまま外まで通じていることがあります。
外から届く状態だと、何が起きるのか
2026年5月、Ollama の脆弱性が公表されました（CVE-2026-7482）。モデルのファイルを読み込む部分で、本来の範囲を越えてメモリを読んでしまう不具合です。GitHubの脆弱性データベースには「GGUFモデルの読み込み処理におけるヒープ領域の範囲外読み取り」として、深刻度Highで登録されています。
報告した会社の記事によると、細工したファイルを送りつけるだけで、そのパソコンのメモリの中身が漏れる可能性があるとされています。漏れうるものとして挙がっているのは、次のようなものです。
この不具合そのものは修正されています。ただ、外から届く状態にしてあること自体は、修正が入っても変わりません。次に別の不具合が見つかったときも、同じところが入口です。
手元の2台は、どうなっていたのか
記事を書く前に、手元で Ollama が動いている2台を確かめました。2026年9月5日の実測です。
| 機材 | Ollamaの版 | 待ち受けているアドレス | OLLAMA_HOSTの設定 |
|---|---|---|---|
| Mac mini（M4・24GB） | 0.30.9 | 127.0.0.1:11434 | 設定なし |
| デスクトップPC（Ubuntu・RTX 3090＋Intel Arc B580） | 0.30.5 | 127.0.0.1:11434 | 設定なし |
どちらも 127.0.0.1 だけを見ていました。念のため、片方の機械からもう片方へ向けて接続を試したところ、繋がりませんでした。2台とも、外から叩ける状態ではありませんでした。
危ない状態を見つけて直した、という話にはなりませんでした。ただ、確かめる前は分かっていなかったので、確かめた意味はあったと考えています。
自分の環境を確かめる3つの手順
手順はどれも、自分のパソコンの状態を見るだけのものです。
手順1 待ち受けているアドレスを見る
Ollamaが使う番号は 11434 です。ここが 127.0.0.1 になっていれば自分のパソコンの中だけ、0.0.0.0 やパソコンのIPアドレスになっていれば外向きに開いています。
手順2 設定が入っていないかを見る
OLLAMA_HOST が設定されているかを確認します。macOSとLinuxなら env | grep OLLAMA、Windowsなら set OLLAMA で出ます。何も表示されなければ、既定のまま動いています。
手順3 別の機械から声を掛けてみる
いちばん確かなのは、家の中の別の機械から実際に繋いでみることです。スマートフォンのブラウザで http://（そのパソコンのIPアドレス）:11434 を開き、「Ollama is running」と表示されたら、家の中からは届いているということです。
ここで気をつけたいのは、家の中から届くことと、外から届くことは別だという点です。家の中から届く状態にしてあるなら、ルーター側で外向けの穴（ポート開放やDMZ）が開いていないかも合わせて見ておくのが安全です。
外の機械から使いたいときは、どうするのか
別の機械から使いたい、という要望は自然なものです。報告した会社が挙げている対策は、次の3つでした。
- ルーターやファイアウォールで、11434番への外からの接続を止める
- Ollama の前に、利用者を確認する仕組み（認証つきの中継）を置く
- ネットワークを分けて、届く範囲を絞る
手元では、機械どうしを直接つなぐ私設のネットワークを使い、Ollama 自体は 127.0.0.1 のままにしています。使いたい機械からはそのネットワーク越しに入る形です。設定をひとつ変えて全方向に開けるより、届く相手を先に決めるほうが考えやすいと感じています。
この記事で確かめていないこと
- 脆弱性そのものは試していません。手元の2台は外から届かない状態で、攻撃の再現も行っていません
- およそ30万台という数字は、報告した会社の調査によるものです。自分で数えた値ではありません
- LM Studio など、Ollama 以外のソフトの既定値は調べていません
まとめ〜開けたつもりの範囲と、実際に開いている範囲
- Ollama は既定では 127.0.0.1 だけを見ており、そのままなら外から叩けない
OLLAMA_HOSTに0.0.0.0を入れると全方向に開く。Ollama には利用者を確認する仕組みが無いため、届いた要求はそのまま処理される- 2026年5月に公表された CVE-2026-7482 では、外から届く状態のとき、打ち込んだ内容や環境変数の鍵が漏れうると報告された。調査ではおよそ30万台が外から届く状態だったとされる
- 手元の2台（Mac mini M4／RTX 3090 と Intel Arc B580 を積んだデスクトップPC）は、どちらも 127.0.0.1 のみ。別の機械からの接続も通らなかった【実測】
- 確かめる手順は3つ。待ち受けアドレス・設定の有無・別の機械から実際に繋ぐ
ローカルLLMを手元に置く理由のひとつは、打ち込んだ内容を自分の外に出さないことでした。その入口が開いていれば、手元に置いた意味のいちばん大きい部分が薄れてしまいます。機材の速さや容量を測るのと同じくらい、いまどこまで開いているかを一度見ておく価値はあるのではないでしょうか。
なお、手元のパソコンでどれくらいの大きさのモデルが動くのかを調べた記事はこちらです。
これまで書いたローカルAIの記事は、まとめページで探せるようにしています。
参考にしたサイト
- Cyera「Bleeding Llama: A Critical Memory Leak in the World’s Most Popular Local AI Platform」（2026年5月5日・脆弱性の内容と外部公開台数の出典）
https://www.cyera.com/blog/bleeding-llama-a-critical-memory-leak-in-the-worlds-most-popular-local-ai-platform - GitHub Advisory Database（CVE-2026-7482・深刻度と概要の出典）
https://github.com/advisories?query=CVE-2026-7482