Ollama è sicuro? Una valutazione pratica della sicurezza

Ollama è sicuro per l'uso che ne fanno la maggior parte degli utenti. Quando esegui un modello in locale, l'inferenza avviene interamente sul tuo computer: i tuoi prompt e gli output del modello non lo abbandonano mai, e puoi verificarlo disconnettendoti dalla rete — tutto continuerà a funzionare. Il software è open source (licenza MIT) e ha un buon record di sicurezza.

I rischi reali sono operativi, non intrinseci allo strumento: esporre l'API non autenticata di Ollama a una rete e scaricare pesi di modelli da fonti non verificate. Entrambi possono essere evitati con pochi minuti di configurazione. Questa guida illustra esattamente quali dati Ollama trasmette, dove si trova effettivamente la superficie d'attacco e come rinforzarla su ciascuna piattaforma. (Se sei nuovo all'uso dello strumento, inizia con la nostra Guida completa a Ollama.)

Cosa Ollama invia e cosa rimane locale

Durante l'inferenza con un modello memorizzato localmente, nulla lascia il tuo computer. Non esiste alcuna pipeline di telemetria che invii i tuoi prompt altrove. Poiché Ollama è open source, ciò è verificabile — e puoi confermarlo autonomamente tramite un firewall o un monitor del traffico in uscita come Little Snitch su macOS.

Ollama stabilisce connessioni di rete in situazioni specifiche e prevedibili:

L’opzione dei modelli cloud merita una segnalazione: le versioni più recenti di Ollama possono eseguire modelli di grandi dimensioni sull’infrastruttura stessa di Ollama. Questa funzionalità è esplicitamente opzionale — richiede l’accesso a un account e i modelli cloud sono chiaramente etichettati come tali — tuttavia, se hai scelto Ollama proprio per mantenere i dati in locale, tieni presente che questa funzione esiste e semplicemente evitala. Tutto ciò che esegui senza aver effettuato l’accesso rimane confinato al tuo sistema.

Il vero rischio: un'API non autenticata esposta alla rete

Ollama espone un’API HTTP sulla porta 11434. Per impostazione predefinita, si associa a 127.0.0.1, ovvero solo i processi in esecuzione sul tuo computer possono raggiungerla. Questa configurazione predefinita è sicura.

Il problema sorge quando gli utenti impostano OLLAMA_HOST=0.0.0.0 — solitamente per consentire a un’interfaccia web o a un altro dispositivo nella rete di connettersi. L’API di Ollama non prevede nessuna autenticazione integrata. Nessuna chiave API, nessuna password, assolutamente nulla. Chiunque riesca a raggiungere la porta può:

• Elencare i modelli installati (/api/tags) ed eseguire generazioni illimitate sulla tua GPU a tue spese
• Scaricare nuovi modelli fino a riempire il disco o eliminare quelli già presenti
• Su versioni obsolete, il rischio potrebbe essere ancora maggiore: CVE-2024-37032 (noto come "Probllama") era una vulnerabilità di attraversamento di percorsi (path traversal) nel processo di download dei modelli, che poteva portare all’esecuzione remota di codice su server esposti. Tale vulnerabilità è stata risolta nella versione 0.1.34 nel 2024, ma ne illustra chiaramente i potenziali rischi derivanti da un’API esposta e priva di autenticazione.

Questo non è un semplice scenario ipotetico. Scansioni su scala internet hanno ripetutamente individuato migliaia di istanze Ollama attive sulla porta 11434 accessibili da internet — quasi tutte presumibilmente esposte involontariamente. Se dovessi ricordare una sola cosa da questo articolo: non esporre mai la porta 11434 su internet, e associa l’API esclusivamente a 0.0.0.0 solo se davanti ad essa è presente un firewall o un proxy.

Un’impostazione più sottile: OLLAMA_ORIGINS controlla quali origini browser possono invocare l’API. Il valore predefinito è restrittivo e limita quindi la possibilità che siti web dannosi interagiscano con la tua istanza locale direttamente dal browser. Non impostarlo su * a meno che tu non comprenda appieno i rischi associati.

Provenienza dei modelli: da dove provengono i pesi

Il secondo vero rischio riguarda ciò che scarichi, non lo strumento che esegue il download. Alcuni fatti aiutano a valutarne l’entità:

• I modelli Ollama utilizzano il formato GGUF, che memorizza i pesi come dati, non come codice eseguibile. Ciò li rende intrinsecamente più sicuri rispetto ai vecchi checkpoint PyTorch basati su pickle, che potevano eseguire codice arbitrario al caricamento.
• "Dati, non codice" non garantisce una sicurezza assoluta — in passato sono stati riscontrati bug nei parser GGUF, pertanto un file malevolmente costruito non rappresenta un rischio nullo. Mantenere Ollama aggiornato mitigata tale rischio.
• I modelli scaricati dalla libreria ufficiale vengono verificati tramite digest SHA-256 indicati nei loro manifesti, garantendo così che i file ricevuti corrispondano esattamente a quelli forniti dal registro.
• Un modello potrebbe comportarsi in modo improprio anche a livello di contenuto: il prompt di sistema integrato o il template di chat di un modello caricato dalla comunità potrebbero influenzare le risposte in modi non voluti dall’utente. Si tratta di un rischio di bassa gravità, ma è comunque utile saperlo qualora tu decida di basare il tuo lavoro su modelli poco conosciuti.

Regola pratica: preferisci i modelli ben noti della libreria ufficiale rispetto a caricamenti anonimi della comunità, e applica normali buone pratiche di sicurezza anche ai file GGUF che importi da altre fonti. Il nostro I migliori modelli locali per Ollama riepilogo e l’intero Elenco dei modelli Ollama si concentrano esclusivamente su modelli consolidati e ampiamente utilizzati.

Rinforzo della sicurezza per piattaforma

macOS

L’applicazione desktop si aggiorna automaticamente, gestendo così la parte relativa agli aggiornamenti di sicurezza. Ollama si associa a localhost a meno che tu non abbia modificato questa impostazione — il metodo documentato per cambiarla è launchctl setenv OLLAMA_HOST "0.0.0.0" seguito da un riavvio dell’applicazione; pertanto, se non hai mai eseguito questo comando, stai utilizzando la configurazione predefinita sicura. I modelli sono memorizzati in ~/.ollama/models. Se hai esposto l’API per consentirne l’uso da un altro dispositivo, limitane l’accesso mediante il firewall di macOS (Impostazioni di sistema → Rete → Firewall) oppure eseguila dietro un proxy, come descritto più avanti.

Windows

L’applicazione desktop viene eseguita dalla barra delle applicazioni e si aggiorna automaticamente. Le variabili d’ambiente come OLLAMA_HOST vengono impostate tramite Impostazioni → Sistema → Informazioni → Impostazioni avanzate del sistema → Variabili d’ambiente, seguite da un riavvio di Ollama dalla barra delle applicazioni. I modelli sono archiviati in %USERPROFILE%.ollamamodels. Se hai esposto la porta per l’uso in rete locale (LAN), verifica le impostazioni del Windows Defender Firewall e assicurati che la regola in entrata per Ollama sia applicata esclusivamente alle reti private, non a quelle pubbliche.

Linux

Lo script di installazione configura Ollama come servizio systemd. La configurazione avviene tramite systemctl edit ollama.service, aggiungendo righe come Environment="OLLAMA_HOST=0.0.0.0" nella sezione [Service] — anche in questo caso, procedi solo deliberatamente. Se devi necessariamente ascoltare su tutte le interfacce, limita l’accesso alla porta tramite il tuo firewall, ad esempio con: ufw allow from 192.168.1.0/24 to any port 11434. Nota che le installazioni Linux non non si aggiornano automaticamente; per aggiornare Ollama, devi rieseguire lo script ufficiale di installazione. Consulta la nostra Guida all'installazione di Ollama per i comandi esatti specifici per ogni distribuzione.

Docker e proxy inversi

Eseguire Ollama in Docker aggiunge un isolamento a livello di filesystem e rende esplicita l’esposizione della rete. Il dettaglio critico riguarda il modo in cui pubblichi la porta. Questa configurazione è sicura — l’API è raggiungibile esclusivamente dall’host:

docker run -d --name ollama 
  -v ollama:/root/.ollama 
  -p 127.0.0.1:11434:11434 
  ollama/ollama

Mentre -p 11434:11434 pubblica su tutto interfacce host — e Docker manipola direttamente iptables, quindi su molti sistemi questo elude completamente le regole di ufw. Questa combinazione (Docker + firewall presunto ma inattivo) è alla base di molti casi involontari di istanze Ollama esposte su Internet. Aggiungere --gpus=all per l'accesso alla GPU NVIDIA non modifica il quadro della sicurezza.

Se hai effettivamente bisogno di accesso remoto, posiziona davanti un reverse proxy con autenticazione e mantieni Ollama in ascolto esclusivamente su localhost. Un esempio minimo con nginx e autenticazione HTTP di base:

server {
    listen 443 ssl;
    server_name ollama.example.com;
    # righe ssl_certificate qui

    location \/ {
        auth_basic "Ollama";
        auth_basic_user_file \/etc\/nginx\.htpasswd;
        proxy_pass http:\/\/127.0.0.1:11434;
    }
}

Un'opzione ancora più semplice per uso personale: una VPN mesh come Tailscale o WireGuard, in modo che la porta sia raggiungibile solo all'interno della tua rete privata e non entri mai in contatto con Internet pubblico.

Checklist per il rinforzo della sicurezza

• Mantieni Ollama aggiornato — le applicazioni desktop lo fanno automaticamente; su Linux, esegui periodicamente nuovamente lo script di installazione.
• Lascia OLLAMA_HOST al valore predefinito (127.0.0.1) a meno che un altro dispositivo non abbia effettivamente bisogno di accedervi.
• Se associ Ollama a 0.0.0.0, limita l'accesso alla porta 11434 tramite il firewall consentendo solo indirizzi IP o sottoreti attendibili.
• Non esporre mai la porta 11434 su Internet. Usa invece un reverse proxy con autenticazione oppure una VPN.
• In Docker, pubblica la porta con -p 127.0.0.1:11434:11434, ricordando che Docker può eludere ufw.
• Scarica i modelli esclusivamente dalla libreria ufficiale; verifica attentamente i file GGUF provenienti dalla comunità o da terze parti prima di importarli.
• Non ampliare OLLAMA_ORIGINS oltre quanto strettamente necessario.
• Non eseguire l'accesso né utilizzare modelli cloud se il tuo obiettivo è gestire i dati esclusivamente in locale.

Domande frequenti

Ollama invia i miei prompt o le mie conversazioni al cloud?

No, durante l'inferenza locale — i prompt, gli output e i documenti forniti al modello rimangono tutti sul tuo computer. Le eccezioni sono esplicite: scaricare un modello comporta il download dei pesi dal registro di Ollama, mentre i modelli cloud opzionali (che richiedono l'accesso con credenziali) elaborano effettivamente i prompt sui server di Ollama. Se non esegui mai l'accesso, tutto viene eseguito localmente.

Ollama può funzionare completamente in modalità offline?

Sì. Una volta scaricato un modello, puoi scollegarti completamente da Internet e l'inferenza continuerà a funzionare normalmente. Questa è la garanzia di privacy più forte disponibile — nessuna configurazione può trasmettere dati attraverso una connessione che semplicemente non esiste. Configurazioni air-gapped rappresentano un caso d'uso legittimo e supportato di Ollama.

Ollama ha mai avuto gravi vulnerabilità di sicurezza?

La più nota è stata CVE-2024-37032 ("Probllama"), una vulnerabilità di path traversal che poteva consentire l'esecuzione remota di codice su server esposti ad attaccanti; è stata risolta nella versione 0.1.34 nel 2024. Come ogni progetto in attivo sviluppo, emergono problemi che vengono prontamente corretti — finora tutte le vulnerabilità individuate richiedevano l'accesso di rete all'API, un ulteriore motivo per mantenere Ollama in ascolto su localhost e tenersi sempre aggiornati.

È sicuro esporre Ollama su Internet?

No, non direttamente — l'API non prevede alcuna autenticazione, quindi un'istanza esposta direttamente permette a chiunque di utilizzare la tua GPU, gestire i tuoi modelli e cercare eventuali vulnerabilità non ancora corrette. Se hai bisogno di accesso remoto, colloca Ollama dietro un reverse proxy con autenticazione e TLS, oppure accedici tramite una VPN come Tailscale. Il port forwarding diretto della porta 11434 è la cosa peggiore che si possa fare con Ollama.

I modelli disponibili su ollama.com sono sicuri da scaricare?

I modelli principali della libreria ufficiale (Llama, Qwen, Mistral, Gemma e simili) sono gli stessi pesi ampiamente analizzati e utilizzati da tutti, distribuiti con verifica tramite digest. GGUF è un formato dati, non codice eseguibile, eliminando così il principale rischio storico associato ai download di modelli. Gli upload della comunità meritano maggiore attenzione — chiunque può pubblicare in uno spazio utente — pertanto, per applicazioni critiche, preferisci modelli ben noti e consolidati.

Eseguire Ollama in locale è più sicuro che utilizzare un'API cloud?

Per quanto riguarda la privacy dei dati, sì: nulla batte i prompt che non lasciano mai il tuo hardware, elemento cruciale per dati soggetti a regolamentazione o codice riservato. Le API cloud spostano il carico sulla sicurezza e sulle politiche di conservazione del fornitore, in cambio di zero manutenzione e di assenza di rischi derivanti da errori di configurazione locali. Se il fattore decisivo è il costo piuttosto che la privacy, la nostra Calcolatore del punto di pareggio tra auto-hosting e utilizzo di API mostra dove l'hardware locale diventa conveniente. E se stai confrontando diversi runner locali, LM Studio ha un profilo di sicurezza sostanzialmente analogo: locale per impostazione predefinita, con l'esposizione intenzionale come scelta dell'utente.