安全研究者实测发现：多款本地 AI 推理服务在默认配置下，可能被任意网页触发生成，部分服务还会返回结果。我们认为，这不是单一产品的漏洞，而是本地 AI 工具普及后尚未补齐的基础安全缺口。

这是什么

本地推理服务、MCP 服务等程序通常运行在电脑上，默认只监听 127.0.0.1，也就是“只允许本机访问”。但浏览器中的网页也可能借助跨站请求伪造（CSRF，诱导浏览器向目标服务发送请求）和 DNS 重绑定（让网页访问的域名重新解析到本机地址），触达这些服务。

发帖者在自己的环境中完成了端到端复现：即使没有人工点击，由 AI Agent 或自动化程序驱动的无头浏览器也能发起操作。值得注意的是，风险高低取决于服务配置：前面有会拦截跨域请求的网关时，模型服务本身可能相对安全；直接暴露原始服务端口则更危险。

行业怎么看

我们认为，模型本地运行带来的隐私优势仍然成立，但不能把“仅本机可访问”误认为“安全”。本地服务通常缺少身份验证、来源校验和权限隔离，而模型还可能接触文件、数据库及其他工具，一旦入口被滥用，影响范围就不只是生成一段文本。

这也构成一项现实提醒：AI Agent 能够操作浏览器和本地工具，意味着攻击不必依赖用户点击。开发者已经为自有引擎增加跨来源与重绑定请求拦截，但帖子没有证明所有主流服务都存在同样严重的问题，也无法判断默认配置下的实际暴露比例。因此，目前更适合把它视为需要核验的系统性风险，而非宣布整个本地 AI 生态已经失守。

对普通人的影响

对企业 IT：企业部署本地模型或 MCP 服务时，应把端口暴露、来源校验和身份验证纳入上线检查，不能仅依赖回环地址或防火墙。

对个人职场：经常在电脑上运行本地模型、自动化工具或 AI Agent 的用户，应关闭不必要的服务，并避免让陌生网页与敏感数据同时处于可调用状态。

对消费市场：目前这类服务多面向开发者，短期不会直接影响普通消费者；但随着本地 AI 助手进入办公和消费产品，厂商需要把跨来源拦截与权限控制做成默认设置。