Eclypsium 演示受损硬件如何在推理时篡改 AI 模型
Eclypsium 在 NVIDIA 支持下演示,攻击者利用受损的 DPU 和宽松的内存隔离,可在推理过程中修改运行时模型权重,使模型回答改变,而磁盘上的模型文件和哈希校验仍显示正常。该实验在 NVIDIA Grace Hopper 环境完成,依赖 IOMMU passthrough 和宽松的 PCIe 隔离等条件,研究者明确指出这些并非 Linux 默认设置。报告将 DPU、GPU、管理控制器及其固件纳入 AI 安全边界,并指出模型签名、安全启动、运行时隔离和持续监控各自回答不同问题。
据和不安全的工具使用。这项研究考察的是更底层的一层:在模型运行时承载并传输其参数的基础设施。 权重是塑造模型回答的数值参数。磁盘上的有效文件可以被加载到内存中,随后被具有足够特权的组件更改。之后对原始文件的检查仍会看到预期的字节,即便回答是使用被篡改的运行时状态生成的。 Eclypsium 的受控演示显示了对查询的模型输出操纵,报告指出,若将同样的技术应用于编码模型,可能削弱身份验证检查、关闭证书验证、引入不安全的依赖项,或在生成的代码中留下内存漏洞。更广泛的担忧在于,运行时操纵可能影响其他敏感用途,例如自动化决策。这些可能性应与实验室中展示的具体行为区分开来。 所谓“未被检测到”的说法也有明确的范围:演示中使用的存储模型完整性检查并未发现内存中的更改。这并不能证明其对一切形式的监控或取证检查都不可见。 攻击条件至关重要 该测试使用了 NVIDIA Grace Hopper 环境。其直接内存访问路径依赖于受损的特权组件以及允许访问敏感内存的配置设置。研究人员指出 IOMMU 直通和宽松的 PCIe 隔离是重要条件,并明确说明这些并非 Linux 的默认设置。 IOMMU 有助于控制外设
匹配字段正文





