Windows defender alert & false-positive detection

快速结论：这是在 Windows 上安装或更新 Ollama 时，Windows Defender（或 Kaspersky 等杀软）把安装包/安装器误判为木马的误报场景。优先先更新 Windows Defender 病毒定义，再判断是否仍需向微软提交白名单申请。

适用环境：Windows（Issue 中提及 Windows 11）；Ollama Windows preview，涉及版本 v0.1.25、v0.1.26；安装器基于 Inno Setup；Ollama 内部包含 CUDA 库。Issue 未提供 Python、CUDA、PyTorch、显卡型号等版本信息。

最快修复方案：Issue 中明确给出的处理方法是更新 Windows Defender 病毒定义：打开 Windows Security 的 Virus & threat protection，进入 Protection updates（在 Virus & threat protection updates 下），点击 Check for updates。但请注意：评论区多位用户反馈即使病毒定义已最新（如 Security intelligence version 1.405.380.0、1.405.391.0）仍会误报，因此该方法并非对所有环境都有效。

注意事项：该误报与代码签名证书、安装器结构（Inno Setup 卸载逻辑）、可执行文件内嵌套载荷、CUDA 库被误判等因素“可能有关”，Issue 中并未给出最终确认的根因。Ollama 官方已联系 Microsoft Security Intelligence 团队处理，并提到会尝试调整安装包结构，但截至该 Issue 关闭时未见在用户侧验证成功的一步修复方案。手动添加杀软排除项或关闭防护有安全风险，Issue 未提供官方验证过的排除路径，不建议照搬。

问题场景

用户在 Windows 上安装或更新 Ollama（Windows preview）时，Windows Defender 弹出木马告警；也有用户反馈 Kaspersky 检测出木马。部分用户在 GitHub README 提供的安装文件上直接触发告警，还有用户在更新 Ollama 到 v0.1.26 时触发告警。同一安装包上传到 VirusTotal 时，本机 Defender 可能不报或报不同名称，Microsoft 的 AV 引擎有时仍会命中。

报错原文

Windows defender alert & false-positive detection

Trojan:Win32/Sabsik.FL.A!ml
Trojan:Win32/Wacatac.B!ml
Trojan:Win32/Peals.F!cl

原因分析

Issue 讨论中给出的可能原因包括：

Windows Defender 存在误报 CUDA 库的历史（Ollama 会包含 CUDA 库），可能是触发因素之一。
安装器基于 Inno Setup，评论区认为这类误报对 Inno Setup 安装器较常见；其中卸载逻辑里写入 {%TEMP}\ollama* 和 {%USERPROFILE}\.ollama 的路径“可能”被 AV 判定逻辑命中。
Ollama 主可执行文件中以内嵌载荷（nested payloads）方式打包内容，“可能”导致误报；维护者尝试改为全部以安装器载荷方式携带，但表示 ollama.exe 本身无论是否包含嵌套载荷在扫描时都是干净的。
微软可能尚未信任其 EV 代码签名证书（DigiCert 签发），新证书需要时间积累信誉；评论区提到有证书并不保证不被误报，需要通过 VirusTotal 检查并提交白名单申请。
维护者指出这类问题在 Go 项目中较常见，Docker for Windows 等类似项目也遇到过。

Issue 中没有得出单一确定根因。

环境排查

确认 Windows 版本（Issue 中明确提到 Windows 11）。
确认 Windows Defender 病毒定义 / Security intelligence version 是否为最新，Issue 中出现的版本号为 1.405.380.0、1.405.391.0。
确认 Ollama 安装包或更新版本（Issue 中涉及 v0.1.25、v0.1.26；测试安装器来自 dhiltgen/ollama releases）。
确认是否使用基于 Inno Setup 的 OllamaSetup.exe 安装器。
确认是否同时安装 Kaspersky 等其他杀软。
可将安装包上传 VirusTotal 对比多个引擎结果，注意 Microsoft 引擎与本地 Defender 结果可能不一致。

解决步骤

先更新 Windows Defender 病毒定义：打开 Windows Security → Virus & threat protection → 在 Virus & threat protection updates 下点击 Protection updates → 点击 Check for updates。这是 Issue 中明确给出的用户侧处理方式。
更新后重新运行安装/更新，确认告警是否消失。如果仍未消失，说明仅靠更新病毒定义不足以解决（评论区多位用户即为此情况）。
可优先尝试（未经最终验证）：将安装包上传 VirusTotal，确认是哪些引擎命中；如为 Microsoft 引擎误报，可通过 Microsoft 的白名单/误报提交表单上报。Issue 中引用了微软的提交标准与表单页面，维护者本人也已向 Microsoft 提交 ticket。
可优先尝试（未在 Issue 中验证成功）：维护者提供的测试安装器移除了两个可疑卸载路径，用于验证是否与 AV 判定有关；但后续反馈称移除后仍会命中 Microsoft AV，因此该方向未确认有效。
等待官方与 Microsoft 的处理结果，或关注后续版本是否改善。Issue 关闭时官方表示正在与 Microsoft Security Intelligence 团队沟通，并计划在下一个 release 前解决误报。

验证方法

更新 Windows Defender 病毒定义后，重新执行安装或更新操作，观察 Defender 是否仍弹出木马告警；同时可将安装包上传 VirusTotal，对比 Microsoft 引擎及各引擎的检测结果是否减少或消失。若告警消失且安装正常完成，即视为问题解决。若仍告警，则说明该误报未通过本次更新解决，需按上面第 3、4 步继续处理。