Eclypsium i Nvidia pokazały, jak zmienić działający model AI bez zmiany jego pliku

Firma Eclypsium we współpracy z Nvidią opisała w raporcie, jak przejęcie firmware, kontrolerów zarządzania albo układów DPU pozwala zmienić stan działającego modelu AI, choć sam plik modelu się nie zmienia. Raport nie dotyczy konkretnej luki i nie towarzyszy mu poprawka. Badacze pokazali technikę, która zmienia stan modelu już po standardowych kontrolach bezpieczeństwa, więc model uznaje swoją integralność za potwierdzoną. Według raportu najłatwiejszym celem jest komputer, na którym działa model: system operacyjny, jądro i sterowniki grafiki są podatne na to samo złośliwe oprogramowanie co każdy inny komputer, także na rootkity zagnieżdżone w firmware.

Kogo dotyczy

Raport dotyczy organizacji, które uruchamiają modele AI na własnej infrastrukturze. Oprócz samego serwera drogę do modelu otwierają komponenty zewnętrzne: usługi aktualizacji firmware, agenty orkiestrujące AI i sprzętowe kontrolery zarządzania. Według badaczy przejęcie warstwy zarządzania pozwala zmodyfikować firmware, zmienić zabezpieczenia izolacji i bezpośrednio sterować podłączonymi urządzeniami.