共享GPU环境下的隐蔽信息泄露风险

在云计算环境中，租户通常期望通过硬件隔离获得完全的安全保障，但GPU共享架构下的隔离机制可能存在致命缺陷。Stealthium网络安全研究员Branislav Brzak指出，攻击者无需root权限或传统漏洞利用手段，仅通过测量共享硬件的操作时间即可推断出受害者正在运行的LLM模型类型、响应速度及工作负载特征。这种攻击基于侧信道分析，核心在于时间信息在GPU实例间未被完全隔离。正如演讲者所言："They can determine what model you are running, how quickly it responds, and even what type of work it is currently doing... without touching the data, just by observing time." 这意味着，即使数据本身受到保护，执行时间的波动仍可能成为信息泄露的通道。

MIG隔离机制与内存屏障漏洞分析

NVIDIA通过多实例GPU（MIG）技术实现硬件隔离，每个MIG段拥有独立的计算单元、专用显存及L2缓存分区。在实验场景中，受害者运行于3个计算单元和48GB显存的段上，而攻击者仅使用1个计算单元和10GB显存。尽管物理资源、内存带宽及容错机制均被隔离，且实例间无数据交换，但攻击者发现GPU级别的内存屏障（membars）会影响卡上的所有L2分区。当一方繁忙时，另一方的操作会略微变慢。攻击者仅读取自身内存并测量加载时间（每5微秒重复一次），利用这一原语即可捕获由内存屏障引起的微小延迟变化。这种技术源自Usenix Security论文《Behind Bars》的研究成果，证明了在看似隔离的环境中，时间仍是唯一的共享变量。

基于频谱分析的模型指纹识别实验

通过对真实H100 GPU上运行的Quant-3（8B参数）模型进行侧信道攻击，研究人员成功提取了模型的解码速度、层数及负载特征。实验数据显示，受害者与攻击者的中位延迟差异仅为3微秒，但这一微小差别足以被捕捉。通过对攻击者自身延迟轨迹进行频谱分析，发现存在881赫兹的基础频率（对应每秒生成的token数）及其谐波。时域信号中出现的峰值结构反映了模型架构：绿色顶部峰值代表层挑战，橙色峰值代表层间额外处理。通过卷积和平均方法分析这些信号特征，攻击者能够以97%的准确率确定模型架构和深度。这种方法不依赖预训练的分类器或标签，而是通过最佳拟合测试在16至48层候选深度中匹配信号签名。对于Quant-3模型，36层的置信度比次优候选高出4.5倍。该方法甚至能识别未见过的新模型或基于相同基础架构的重训模型，因为其核心在于捕捉固定的硬件信号印记而非特定内容。

时序特征足以区分相似模型与负载类型

演讲者以 Meta 的 Llama 3 (8B) 和 DeepSeek R1 (基于 Llama 架构的 8B 模型) 为例，展示了即使底层结构高度相似，侧信道攻击依然有效。Llama 3.1 (8B) 与 Llama 3 (8B) 拥有相同的 32层基础架构，仅做微小更新；而 R1 (8B) 则是基于该基础的改进版。尽管这些模型在 每层的中位延迟差异仅为 1.6纳秒，且其余信号特征看似相同，但分类器仍能准确区分它们。这引出了一个更深层的问题：攻击者不仅能识别模型身份，还能判断当前正在执行的工作负载类型。

"It's not what model it is, but what it's doing right now."

实验设定了四种工作负载：散文、代码、JSON 和搜索。分类器基于过去5秒的时序数据，每半秒做出一次判决。在40次半秒判决中，31次是正确的。通过多数投票机制，甚至能正确识别出4个完整的响应。值得注意的是，这一测量是在启用 VLLM 的推测解码 (speculative decoding) 功能下进行的，这并非默认设置。该机制通过文本的可预测性影响每次步骤接受的 token 草稿数量，从而改变 步骤执行时间，而正是这种时序信号被记录并用于分析。

NVLink 跨 GPU 侧信道攻击机制与数据表现

为了消除共享芯片（如 MIG）的限制，演讲者展示了基于 NVLink 的跨 GPU 攻击场景。在配备8块 H100 GPU并通过 NVSwitch 连接的服务器中，受害者使用 GPU 0和1进行张量并行计算，而攻击者只需利用同一服务器上的任意其他 GPU（如 GPU 2）。通过 NVLink 的点对点访问，攻击者可以监控 GPU 0上的内存访问时间。空闲状态下的转换时间约为 890纳秒，而当受害者开始工作时，这一时间激增至 300微秒。这种显著的时序差异使得攻击者甚至能通过肉眼计数来估算 token 数量。

"The idle transition takes about 890 nanoseconds. When the victim starts working, this time increases to 300 microseconds."

与 MIG 攻击相比，NVLink 方案丢失了 层比特 (layer bits) 信息，因为噪声水平较高，导致主要保留的是时序特征而非层结构数据。在相同服务设置下测试5个模型时，该方法仅能揭示模型身份本身，准确率达到 79.2%。然而，在 Llama 3.5 (8B) 和 R1 distill (8B) 这种解码频率差异仅为 3Hz 的模型上，该方法失效。这是因为 NVLink 的信噪比低于 MIG，丢失了层结构信息，但 79%的准确率 远高于20%的基线随机猜测水平，证明这仍是有效的指纹特征而非噪声。

防御策略与实时检测的重要性

演讲者指出，其所在公司使用的 Stealthy 产品在安装后立即检测到此类攻击。Stealthy 监控每个 GPU 上的内核启动，分析可疑工作负载并触发通知管道。在一个核心案例中，某个进程被重启约 3,000次，每次都访问相同的 40KB内存 区域，而非处理新数据。整个过程中仅向 CPU 发送了 1KB的数据，因为载荷是执行时间本身而非计算结果。从开始到结束耗时不到 600毫秒，且响应 token 少于50个。演讲者强调："We discovered this before the answer was even half typed."（我们在答案甚至还没输出一半时就发现了它。）

基于此，演讲者提出三点结论：首先，部署位置由操作员控制，不应将不受信任租户的 MIG 片段放置在敏感模型旁边；其次，需意识到 MIG 与 NVLink 的权衡：MIG 消除了节点间的连接，因此不存在张量并行泄露；而 NVLink 分片虽然限制了泄露仅为时序参数而非层数据，但仍存在风险；最后，必须 监控 GPU 本身，确保主机基础设施能主动检查硬件上的恶意任务。Stealthy 正是通过直接检测内核行为来实现这一目标，揭示了在 GPU 共享环境中，仅凭运行时即可推断模型、速度和负载的现实威胁。

结论

GPU共享环境下的硬件隔离并非绝对安全，侧信道攻击可通过测量操作时间推断模型架构、深度及工作负载。MIG隔离虽能实现物理资源分离，但内存屏障导致的微秒级延迟仍暴露模型指纹（准确率97%）；NVLink跨卡攻击虽信噪比低、丢失层结构信息，仍能实现79.2%的模型识别准确率。攻击不依赖数据内容或root权限，仅通过时间波动即可生效。

防御需从架构与监控入手：避免将敏感模型置于不可信租户旁，权衡MIG与NVLink的泄露风险差异。关键在于实时监控GPU内核启动行为，如Stealthy产品所示，可在攻击者完成数据提取前（甚至模型输出未完成时）发现异常内存访问模式。这表明在云GPU环境中，运行时监控比单纯依赖硬件隔离更为必要。