CTranslate2 CVE-2026-102566 与 CVE-2026-102567：AI 模型加载器堆溢出

CTranslate2（Whisper、OpenNMT 等众多 AI 应用背后的推理引擎）被披露两个内存安全漏洞，均影响 4.8.1 之前版本并在 4.8.1 修复。CVE-2026-102566（CVSS 7.8，CWE-120）为二进制模型加载器读取 payload 长度后未校验堆缓冲区即复制，构造恶意模型文件可越界写入并可能实现任意代码执行；CVE-2026-102567（CVSS 6.1，CWE-125）为字符串字段反序列化未验证 null 终止符，导致越界读取、崩溃或内存泄露，在 AI-as-a-Service 部署中可能造成信息暴露。

AI推荐理由 披露 CTranslate2（Whisper、OpenNMT 等所用推理引擎）模型加载器中的两个内存安全漏洞：CVE-2026-102566（CVSS 7.8，堆缓冲区溢出，可致任意代码执行）与 CVE-2026-102567（CVSS 6.1，越界读取，可致崩溃或内存泄露），影响 4.8.1 之前版本。涉及恶意模型文件这一实际攻击面，对部署 AI 推理服务的团队有直接修复价值；但内容为第三方转述，需以官方公告核实。