新论文指出 NVIDIA Grace Hopper 通过硬件辅助页迁移破坏 GPU 隔离并建立侧信道

该研究针对 NVIDIA Grace Hopper (GH200) 超芯片的硬件辅助页迁移机制提出安全警告，证明其无法在多实例 GPU (MIG) 分区间维持预期的强隔离。研究人员识别出两个侧信道漏洞：一个源于访问计数器的共享结构，另一个源于 UVM 驱动程序对迁移中断的处理响应。利用概念验证攻击，团队构建了跨越 MIG 实例的隐蔽信道，分别通过驱逐信号和迁移延迟信号实现了约 8,500 位/秒和 8,100 位/秒的数据传输速率。

实验细节显示，基于中断的信道不仅能传输数据，还能对不同的推理工作负载进行指纹识别，区分大型语言模型 (LLMs) 与 CPU SPEC2017 基准测试，并能高精度估算 LLM 推理期间处理的提示词长度。这些发现表明，旨在提升内存局部性的动态页面提升功能，反而成为了跨租户信息泄露的通道。事实层面，攻击成功跨越了设计用于隔离不同租户的 MIG 硬件边界；推断层面，当前依赖 MIG 实现的多租户 GPU 部署可能面临比预期更严重的数据泄露风险；猜测层面，此类硬件级漏洞可能需要固件更新或驱动层面的特定补丁来缓解，而非仅靠软件逻辑修复。

这一结果暴露了异构内存系统在追求性能优化时引入的安全缺口，迫使云服务商重新评估基于 GH200 等新一代架构的多租户隔离策略。对于正在构建或采购 AI 基础设施的团队而言，这意味着不能默认认为物理或硬件层面的分区（如 MIG）能完全阻断侧信道攻击，特别是在涉及高带宽、低延迟的内存共享场景下。