В чём суть риска
Исследование LeftoverLocals показало, что локальная память GPU при определённых условиях становится каналом утечки между процессами. Для бизнеса это риск раскрытия запросов, ответов и фрагментов моделей в разделяемой AI-инфраструктуре.
Один ускоритель обслуживает процессы разных владельцев. Если область памяти не очищается полностью после вычислений, другой процесс может прочитать то, что в ней осталось. Граница доверия нарушается на уровне оборудования и драйверов, ниже привычных средств контроля приложений и сети. Вероятность зависит от версий драйверов и среды исполнения и от того, как поставщик разделяет арендаторов.
Чем риск оборачивается для компании
Запросы, ответы и фрагменты моделей могут оказаться у соседнего арендатора или процесса.
Раскрытие защищаемых сведений через общий ускоритель ставит под вопрос выполнение требований к изоляции данных.
Утечка через инфраструктуру поставщика подрывает доверие клиентов к AI-сервисам компании.
Где риск наиболее вероятен
Кому и что решать
Определить, какие нагрузки допустимо размещать на разделяемых ускорителях, а какие требуют выделенного оборудования.
Включить драйверы и среду исполнения GPU в контур управления уязвимостями и проверить изоляцию арендаторов у поставщика.
Понимать, какие данные процесса попадают на общие ускорители, и согласовать допустимый уровень изоляции.
Что стоит наблюдать
Признаки сами по себе не доказывают инцидент. Их полезно сопоставлять с учётной записью, версией модели, решением политики, источником контекста и результатом вызова инструмента.
Какие меры создают границу
Меры работают в связке и не перекладывают ответственность на модель: важны границы полномочий, владелец, телеметрия и процедура безопасного отказа.
Правила размещения нагрузок на GPU
Закрепить, какие классы данных можно обрабатывать на разделяемых ускорителях.
Своевременное обновление драйверов и прошивок
Устанавливать исправления для стека ускорителей в общем цикле обновлений.
Изоляция арендаторов на уровне оборудования
Выделять отдельные ускорители под чувствительные нагрузки.
Очистка памяти и конфиденциальные вычисления
Принудительно очищать память между заданиями и применять среды конфиденциальных вычислений там, где они доступны.
Учёт совместного размещения нагрузок
Отслеживать, какие задания делят одно устройство, и оповещать о нарушении правил размещения.
Вопросы, показатели и первые шаги
Вопросы команде и поставщику
- Кто ещё пользуется ускорителями, где обрабатываются наши конфиденциальные запросы?
- Как поставщик облака подтверждает изоляцию арендаторов и очистку памяти?
- Входит ли стек GPU в процесс управления уязвимостями?
- Какие нагрузки переведены на выделенное оборудование и по какому критерию?
Показатели контроля
- Доля чувствительных нагрузок, размещённых на выделенных ускорителях
- Срок установки исправлений для драйверов и среды исполнения GPU
- Число выявленных случаев совместного размещения с нарушением правил
Первые 30 дней
- Составить перечень ускорителей и нагрузок с указанием арендаторов
- Сверить версии драйверов и среды исполнения с опубликованными исправлениями
- Запросить у поставщика облака описание мер изоляции и очистки памяти
Как проверить в пилотном проекте
Проверить сегментацию, учётные записи и ограничение расхода ресурсов на вывод модели и выполнение агентов.
Сервисная учётная запись имеет минимальные полномочия для согласованной нагрузки.
Политика сети и квот ограничивает неразрешённый маршрут или нештатный расход.
Телеметрия исполнения поступает в согласованный мониторинг или процесс SOC.
Какие классы решений рассматривать
Ниже — редакционные профили поставщиков, связанные с доменом угрозы. Это не рейтинг и не подтверждение применимости: заявленные функции следует проверить в вашем пилоте по указанным критериям.
INFERA AI Security portfolio
InfEra Security · AI Security / DevSecOps
INFERA AI.SafeCode · INFERA AI.Firewall
AIGATE / DevScore / AIPitch
Aitalon · AI Gateway
AIGATE · DevScoreAqua CNAPP
Aqua Security · CNAPP / Container Security
Aqua CNAPP capabilitiesИсточники и проверка
Сначала — объяснение для русскоязычной команды. Затем — первоисточники, по которым можно проверить границы, методологию и применимость в конкретной архитектуре.