AIDEFEND in Action AIA-0107 實證研究發布於 AIA: 2026年10月26日

GPUBreach：GPU 記憶體故障可越過模型下方的隔離邊界

GPUBreach 研究者在 NVIDIA RTX A6000 上，以沒有特權的 CUDA 程式反覆存取記憶體，誘發位元翻轉，進而破壞 GPU 分頁表；這類硬體攻擊稱為 Rowhammer。受控示範包含跨程序 GPU 存取、LLM 權重外洩，以及另一條在 IOMMU 啟用時仍可取得 CPU root 的驅動程式路徑。AI 部署方可採取的防禦，是避免機敏工作與不可信 GPU 程式共用故障範圍。

Privilege EscalationRuntime IsolationAI Deployment SecurityMulti-Tenant AIML Security

1 項對應的 AIDEFEND 防禦手法

來源: GPUBreach: Privilege Escalation Attacks on GPUs using Rowhammer

作者: Chris S. Lin, Yuqin Yan, Guozhen Ding, Joyce Qu, Joseph Zhu, David Lie, Gururaj Saileshwar

原文發布: 2026年5月5日

威脅分析

應用程式下方的隔離失效：位元翻轉破壞 GPU 分頁表，使本機 CUDA 攻擊者取得超出自身程序的存取能力。研究展示的 GPU 機敏資產包含 LLM 權重。
兩種影響分開看：跨程序 GPU 資料存取，與接續利用驅動程式取得權限，是不同示範。IOMMU 啟用並未阻止研究展示的 CPU root 路徑；這不是遠端對聊天機器人送出訊息就能完成的攻擊。
防禦有明確限制：ECC 能修正部分錯誤，但不能保證完整阻止 Rowhammer。專用配置可以移除不可信鄰居；重設清理、一般驅動程式更新或 AI 護欄，則不能因此算成已修好實體故障機制。

適用的 1 項 AIDEFEND 防禦手法

AID-H-032.001

Dedicated Capacity for High-Sensitivity Inference

高

處理機敏推論或專有權重時，推論服務管理者應使用經驗證的專用主機，不允許其他租戶執行任意 CUDA 程式。排程、裝置所有權與故障切換都要維持整台主機的信任範圍，並取得獨立配置證據。共用主機上的「專用 GPU」標籤、分時共享或預留容量合約，都不足以證明這項隔離。這能移除共用主機攻擊者的前提，不能修好 Rowhammer；同一主機若仍允許惡意 GPU 程式，GPU 到 CPU 的驅動程式攻擊也未被解決。

身為資安防禦者，我們應該這麼做

盤點使用者在哪些地方能把任意 GPU 核心程式與機敏 AI 工作放在一起執行，包含批次工作與故障切換資源池，並以主機為單位分開信任範圍。
向服務提供者確認裝置、主機與租戶配置證據，不只接受「專用容量」這個名稱。只用 API 的客戶，需要提供者可驗證的隔離保證。
追蹤特定硬體與驅動程式的廠商修補，針對相關攻擊路徑驗證後再結案。不要在正式設備上進行可能破壞資料的 Rowhammer 實驗。

結論

AIDEFEND 為共用主機上的 AI 暴露提供具體的資源配置控制，能減少一項重要攻擊前提。硬體故障與驅動程式提權，仍須由相關硬體及廠商修補處理，不能因為推論端點在邏輯上隔離，就宣稱問題已解決。

最後更新: 2026年10月26日