# A31: Утечка данных через память общих графических ускорителей (GPU local memory leakage / shared accelerator risk)

> Исследование LeftoverLocals показало, что локальная память GPU при определённых условиях становится каналом утечки между процессами. Для бизнеса это риск раскрытия запросов, ответов и фрагментов моделей в разделяемой AI-инфраструктуре.

- Канонический HTML: [/threats/a31-gpu-local-memory-leakage-shared-accelerator-risk](https://ai-first.tech/threats/a31-gpu-local-memory-leakage-shared-accelerator-risk)
- Язык: русский
- Редакционный принцип: защитный контекст без вредоносных полезных нагрузок и инструкций обхода.

## Домен

Исполнение и инфраструктура AI

## Как проявляется риск

Один ускоритель обслуживает процессы разных владельцев. Если область памяти не очищается полностью после вычислений, другой процесс может прочитать то, что в ней осталось. Граница доверия нарушается на уровне оборудования и драйверов, ниже привычных средств контроля приложений и сети. Вероятность зависит от версий драйверов и среды исполнения и от того, как поставщик разделяет арендаторов.

## Влияние на бизнес

- **Данные.** Запросы, ответы и фрагменты моделей могут оказаться у соседнего арендатора или процесса.
- **Право и комплаенс.** Раскрытие защищаемых сведений через общий ускоритель ставит под вопрос выполнение требований к изоляции данных.
- **Репутация.** Утечка через инфраструктуру поставщика подрывает доверие клиентов к AI-сервисам компании.

## Где риск наиболее вероятен

- Аренда GPU в публичном AI-облаке
- Общий кластер ускорителей для нескольких подразделений
- Совместное размещение обучения и обслуживания моделей

## Кому и что решать

- **ИТ-директор.** Определить, какие нагрузки допустимо размещать на разделяемых ускорителях, а какие требуют выделенного оборудования.
- **Директор по кибербезопасности.** Включить драйверы и среду исполнения GPU в контур управления уязвимостями и проверить изоляцию арендаторов у поставщика.
- **Владелец бизнес-процесса.** Понимать, какие данные процесса попадают на общие ускорители, и согласовать допустимый уровень изоляции.

## Признаки для службы мониторинга

- Ускоритель одновременно выделен нескольким арендаторам или проектам
- В памяти ускорителя обнаруживаются неожиданные остаточные данные
- Нагрузки разной степени конфиденциальности размещены на одном устройстве
- Используются версии драйверов или среды исполнения с известными уязвимостями
- Поставщик не подтверждает очистку памяти между заданиями

## Меры защиты

- **Правила размещения нагрузок на GPU** (организационная). Закрепить, какие классы данных можно обрабатывать на разделяемых ускорителях.
- **Своевременное обновление драйверов и прошивок** (техническая). Устанавливать исправления для стека ускорителей в общем цикле обновлений.
- **Изоляция арендаторов на уровне оборудования** (техническая). Выделять отдельные ускорители под чувствительные нагрузки.
- **Очистка памяти и конфиденциальные вычисления** (техническая). Принудительно очищать память между заданиями и применять среды конфиденциальных вычислений там, где они доступны.
- **Учёт совместного размещения нагрузок** (мониторинг). Отслеживать, какие задания делят одно устройство, и оповещать о нарушении правил размещения.

## Вопросы команде и поставщику

- Кто ещё пользуется ускорителями, где обрабатываются наши конфиденциальные запросы?
- Как поставщик облака подтверждает изоляцию арендаторов и очистку памяти?
- Входит ли стек GPU в процесс управления уязвимостями?
- Какие нагрузки переведены на выделенное оборудование и по какому критерию?

## Показатели контроля

- Доля чувствительных нагрузок, размещённых на выделенных ускорителях
- Срок установки исправлений для драйверов и среды исполнения GPU
- Число выявленных случаев совместного размещения с нарушением правил

## Первые 30 дней

- Составить перечень ускорителей и нагрузок с указанием арендаторов
- Сверить версии драйверов и среды исполнения с опубликованными исправлениями
- Запросить у поставщика облака описание мер изоляции и очистки памяти

## Классы решений

- Защита AI-инфраструктуры
- Защита облачных сред

## Сопоставления

- OWASP: LLM10
- MITRE: ATT&CK: Resource Development
- NIST: NIST AI 100-2: Evasion

## Первоисточники

- [Wired: LeftoverLocals GPU memory vulnerability](https://www.wired.com/story/leftoverlocals-gpu-vulnerability-generative-ai/) — Риск GPU local-memory leakage.
- [Google: Secure AI Framework (SAIF)](https://safety.google/intl/en/safety/saif/) — Secure-by-default AI, privacy и управление риском.

## Ограничение

Карточка описывает признаки и меры защиты. Она не является эксплуатационной инструкцией и не заменяет модель угроз конкретной организации.