硬件共享的隐形代价：云端多租户 GPU 侧信道威胁
在现代云基础设施中，大型语言模型（Large Language Model: 基于海量参数构建的深度学习模型）通常部署在昂贵的高性能计算卡上（如 NVIDIA H100）。为了最大化硬件利用率并降低服务成本，云服务商普遍引入多租户共享机制，将单一物理 GPU 切分给多个不同的客户共同使用。表面上看，虚拟化层与硬件分区提供了相互隔离的执行边界；然而，物理硬件上的共享资源却为恶意的“邻居”打开了一扇隐蔽的侧信道大门。攻击者完全不需要传统的系统漏洞利用（Exploit），也无需获取目标系统的 root 访问权限，仅需以普通租户身份在同一物理卡上运行轻量级测量代码，通过捕捉共享硬件访问的时序波动，便能推断出同机邻居的模型架构、解码速率乃至生成内容的特征。
在揭示具体的攻击向量前，安全研究团队 Stealthium 指出，虽然业界对共享计算资源的虚拟化隔离抱有高度信任，但这种安全假设正受到底层物理特性的严重挑战。
英文原文
Салам ҟасҵоит зегьы. Абри Аицәажәара иазкны Ацәцара ашәарҭара шә-LLM аҟынтәи адыррақәа Азеиԥш ала GPU ахархәага. Уара Амодель аус арутәуп GPU-иқәыргыло аԥсҭҳәа, еицырзеиԥшу егьырҭ ақьырауаа рыцны, Ааигәа аӡәы илшоит Лыӡбахә аилкааразы еиуеиԥшым акы. Дара иалкаар алшоит иарбан Уара амодел мҩаԥугоит, Шаҟа дыццакузеи лара иақәшәоит насгьы Иарбан усу Уажәы ақәгылара мҩаԥигоит, акәым данноқәа ркьысра, Баша ахәаԥшра аамҭала. Убри ауп изызку ари аицәажәара. Изакузеи Уадак аҿы Абри ахь аиқәыршәага иалшоит у LLM аӡбахә еилкаа Еибыҳәаны мацара аҟазшьақәеи Иҟауҵар улшозеи ари аҟаҵара. Раԥхьаӡа иргыланы, Сара Бранислав Бржак соуп, Аҭҵааҩы Стелтиум аҿы акибершәарҭадара. Стелтиум аҟны ҳара Ҳара ҳаспециалистцәа Ашәарҭадара аиқәыршәара насгьы ахылаԥшра Акәша-мыкәша АИ асистемақәа аус руеит. Сара сзызҿлымҳау аҭыԥ— Аҩаӡара лаҟә ашәарҭадаратә ҭҵаара, GPU иадҳәалоу. Абри ауп Ари аицәажәара иаҵанакуа . GPU абжьара анышәыцеиҩышәшо Ақьырауаа, шәара Иҭәу уазыԥшыз аизоляциа, аха еиқәыршәоуп аизоляциа Ацәырҵра изымхо. АҨНЫҴҞА Абри ажәылара ҟалар Ажәылаҩгьы Иаҭахым ҷыдалатәи азинқәа, root анеирҭа еиԥш. Иара изы Убасгьы иаҭахым Атрадициатә аексплуатациақәа. Акызаҵәык уи иҟаиҵоит — абри аусура аамҭа ашәагақәа аиқәыршәага ахәҭақәа, Иаанхаз еицырзеиԥшу ақьырауаа. Иара Адемонстрациатә видео рҭеиҭыԥш анапхгаратә панельқәа ааха зауз ажәылаҩ. Армарахь ала ҳара Ҳара иҳамоуп Квант 3 амодел, уи ахыркәшара наигӡоит. Ақәылаҩ диашоуп. Ахархәарақәа аганахьтәи аканал, аҟны Квант 3 "ицәцоит" аусураан. АЦ ари иара иӡбоит, Иарбан модельу ари насгьы Иарбан тексту уажәы илҩуа? генерирует. Ари усуп Ихадоу азхәыцрақәа, аха ажәабжь зегьы. Ҳара Ҳара иаҳдыруеит модель, архитектура насгьы аҵаулара ииашаны 97%. Ҳара иҳалшоит Аццакыра аилкаара Аҟынтәи адекодирацәара 99,3% аиашара аманы. Ҳара ҳара иаҳдыруеит, ианба, шаҟа, Аидара аамҭақәа , ажетонқәа рхыԥхьаӡара насгьы аҭак аура. Иҳалшом Иарбану аилкааразы Аусура ахкы инагӡоуп: акод, аҟазара, апроза, JSON мамзаргьы аԥшаара. Ҳара иаҳзымдыруа Еилаҳкаар ҳалшоит, ааи абарҭ рхаҭақәа роуп ацәырҵрақәа ( аҳәарақәа), аҭакқәа мамзаргьы аҵакы. Аамҭа заҵәык анагӡара. Ари зегьы ииашоу Н100, уи ииашоу амаҵ аура LLM. Ҳара ҳхы иаҳархәоит Нвидиа ахархәага.
MIG 硬件切分下的资源隐患：二级缓存争用
在 NVIDIA 架构中，多实例 GPU（Multi-Instance GPU: 将单个 GPU 划分为多达七个独立硬件实例的技术，简称 MIG）被广泛宣传为具备完全硬件级隔离能力的方案。在 MIG 配置下，每个实例被分配了独立的计算单元（Streaming Multiprocessors）和专有的显存（VRAM），硬件上实现了显存地址空间的严格屏障。例如在实验环境中，受害者运行的大模型被分配在拥有 48GB VRAM 的主要计算分片上，而攻击者仅占有一个最小规格的切片（10GB VRAM）。尽管在计算核心、显存总线配额和带宽上实现了精细的分离，甚至 L2 缓存（Level 2 Cache: GPU 核心与显存之间的高速共享缓冲层）也在逻辑上划分了切片，但底层物理互连和访问仲裁仍存在跨分片的关联。
当受害者实例在全负荷处理矩阵计算时，其密集的显存读写操作不可避免地会在共享总线与交叉开关网络上产生物理争用。攻击者只需在自己的实例内不断分配微小缓冲区，并测量其访问延迟的微秒级变化：
- 微时序测量周期：攻击者以约每 5 微秒一次的频次执行探针读取。
- 物理延迟偏置：虽然正常读写与受害模型活跃时的中位数延迟差异仅有约 3 微秒，但这一极其细微的时间扰动已足以形成具有统计意义的侧信道信号。
- 无特权穿透：该测量仅访问攻击者自身的显存空间，未触碰任何受害者数据地址，却能准确反映整个芯片级内存子系统的负载波动。
这一现象印证了此前学术界（如 USENIX Security 会议论文）关于跨切片硬件干扰的研究，证明 MIG 虽能防止内存越界读写，但无法抹平微架构层面的执行时序痕迹。
英文原文
GPU аизоляциа инаӡоит ала Атехнологиа ахархәарала Аҿырԥштәырацәа GPU, мамзаргьы иркьаҿны МИГ ҳәа. Дарбанзаалак Иалкаау асегмент МИГ иара ахатә физикатә Аҳасабратә еизакқәа насгьы иалху VRAM. Иара Ахардвер еиқәнаршәоит Аизоляциа абарҭ рзы ахәҭақәа. Ҳара ҳҟны LLM ҳара аҿырԥштәы Амаҵ ҳуеит, аус ҳуеит хԥа змоу асегмент аҟны Аҳасабратә блокқәеи 48 ГБ VRAM. Ақәылаҩ аус иуеит Акы заҵәык аҟны Аҳасабратә блокқәеи 10 ГБ VRAM. Иалкааны иҟоуп аҳасабратә блокқәа, агәынкылара аҭаҵара, аквотақәа Абандҭбаара насгьы ахара ачҳара. L2 акешгьы азы ишоуп копиеицыԥхьаӡа. Араҟа ахҵәара ыҟаӡам. аинстанциақәа рыбжьара. Ус анакәха, абри аҵакала Еицырзеиԥшу акгьы ыҟам Мамоу. Актуалра зцу Ахыҵхырҭақәа ԥынгылақәоуп агәынкылара, мамзаргьы амембар, уи Аусура зегьы рҩаӡараҿы GPU. Акы аԥынгыла Ишыҟазаалакгьы акопиақәа Аҟәша зегьы ирныруеит L2 ахсаалаҿы. Аамҭа ауп Иҟамло акы заҵәык аҽацәахьчара. Шьҭахьҟа, Қьырала инхо аӡәы Еилахоуп, егьырҭ маҷк мацара аус ула еиҳа иҵаӷаны. Ацаԥха Аус злоу Зегьы ргәынкылара аԥынгыла GPU аус ауеит зегьы рҿы акартаҿы L2 аҟәша. Анаҩстәи аслаид ажәылара зегьы шьаҭас иамоуп ари факт заҵәык. Авектор абри ауп Ажәылаҩ даԥхьоит схатә гәалашәара мацара. Уи аамҭа мацара ауп изызшәо рхатә ԥхьарақәа. Иара ахаангьы Агәынкылара иакьысуеит ааха зауз. Иҟоуп х-шьаҿак. Аҭагалара аҟынтәи Ахатә хәыҷы абуфер, аамҭа ашәара аҭагалареи ес-5 ақәҭыхра микросекундқәа. Абри Сара схаҭа игәасҭеит ацәцара. МИГ аҟны амембар ала — мап ҳԥшаара. Акредит шьҭоуп аҭҵааҩцәа Астатиа ашьҭахь угылоуп " Абарқәа рышьҭахь" Усеникс ашәарҭадараҿы. Даара иҭабуп урҭ рзы аусура. Абыржәы Ахәаԥшра уҽазышәа аамҭа аиԥшымразы. Блала, Имариоу аиҿырԥшра шәықьырауаҩи LLM амаҵзура, шәара Урҭгьы узрызгом еилыркааразы. Амедиана Аиҵахара еиҳауп 3 микросекунд. Аха Ажәылаҩ изы абарҭ 3 микросекундқәа — уи ауп, иаҭаху. Абри Иазхоит Зегьы реизгара изызку адыррақәа Ҳаицәажәахьеит.
频谱分析与层数反推：97% 精度的模型指纹重构
通过捕获这 3 微秒级别的细微显存读写延迟扰动，攻击者可以在时域与频域上完整还原出大语言模型的自回归解码节奏。由于大模型在自回归生成时以 Token（词元: 模型处理与生成的最小文本单元）为步长运行，每生成一个 Token 都会经历完整的注意力计算与前馈网络推理，这在硬件时序图谱上呈现出极其清晰的周期性“心跳”脉冲。
在此基础上，时序数据在频域的特征分解揭示了更深层次的内部构造：
- 主频与谐波特征：实测显示，自回归计算会在约 881 Hz 处激发出基波频率，同时伴随多个清晰的高次谐波。
- 层数特征映射：单个 Token 的生成周期内，显存压力波峰直观反映了 Transformer 的网络深度。例如在某个实测模型中，每个生成周期精确出现 39 个连续的子峰值，直接暴露了该模型由 39 个隐藏层 堆叠而成。
- 解码速率还原：Token 解码速度的反推准确率达到了惊人的 99.3%，这意味着邻居租户何时开始请求、回答耗时多久、输出了多少个 Token，均处于全透明状态。
为了在海量候选模型中自动匹配，攻击团队设计了一种无需复杂机器学习训练的极简分类算法。该算法仅需不足 30 行核心逻辑，通过计算测试时序与已知模型架构（支持最高达 48 层）的皮尔逊相关性，即可以 97% 的极高准确率 锁定受害者正在调用的模型架构与精确层数。即便是对于完全未在预设库中注册的闭源或私有模型，算法也能凭借其层数指纹直接缩小分析范围。
英文原文
Аквантри миллиард рыла апараметрқәа аус руеит Ааха зауз асегмент ахыҵра абри аамҭазы. Зегьы иҳауз адыррақәа ракәын Ареалтә аҟынтә иаагоу модельқәа. Хыхьынтә- Аамҭа цацыԥхьаӡа GPU аусура, знык ақәҭәара жетонк азы. Ҵаҟа — лассы-лассы Аспектр ашьҭа Ахала иагхоит ажәылаҩ. Иҟоуп ихадароу лассы-лассыра 881 герц, уи жетонқәак рҿы Аҩбатәи, ацҵара агармоникақәа, избан акәзар жетонцыԥхьаӡа еилаԥсоуп хаз-хазы афреквенциақәа, акәымкәа акы цқьоуп. Иара ииашау ашьҭаҵара, Токенк аамҭатә зона аҟны ҭыԥқәа. Ажетон иаанарԥшуеит иааизакны 39 ақәцәқәа. Ашьхақәа рҟынтә Ахы иаҵәақәа — абарҭ роуп ашьаҭақәа рзы ауадаҩрақәа, апурпур еиԥшу ракәзар... Иацҵаны аус адулара ашьаҭақәа рыбжьара. Аханы анаҩстәи аслаидқәа рҿы ҳара ҳара иааҳарԥшып уи шыҟаҵатәу Ҳара иҳаӡбоит Ахыԥхьаӡараҵәҟьа ашьаҭақәа, аха Абарҭ рыҟазаара иацҵаны ацәқәырԥақәа. Абра Ҳара ҳахәаԥшуеит аласра адекодирацәара. Амацара ашәагаала Аамҭа шьақәҳаргылеит Атокен аццакыра лабзны. Убри азын, Аццакыра ахаҭа ухы — абри ауп Ажәылаҩ илшоит ииашаны аиҭашьақәыргылара. Аха Аццакыра ахаҭа Еилкаам схы ашьҭа. Квантри 8 миллиардқәеи Ламеи 3 8 Амиллиардқәа Еиԥшымзаара мацара 1.6% аццакырала жетонқәа. Убри азы мацара Шаҟа уццакуеи Аӡәы иеиԥшуп ҳәа сгәы иаанагон еиԥшу амодел. Иара аԥшаара арҭшәоит, аха ииашоу аҵакы анаҭом аҭакқәа. Ҳара ҳахь акы аҭахуп Еиҳа ииашаны иуҳәозар, ахыԥхьаӡара ашьаҭақәа. Убри ауп изызку. Абарҭ ирызкны иҳәоуп ԥыҭрак аслаидқәа. Ҳара Ҳара уи ҳхы иаҳархәоит Аметод ахаҭа аикәарҳәреи абжьаратәи аҟаҵара, уи ауп зааӡа. Уажәазы ҳара Абри наҳаргылап знык амодел азы, акәымкәа знык атокен азы. Иалҵшәаны абитқәа рхыԥхьаӡара Аиашаҵәҟьа Зегьы ирықәшәоит хыԥхьаӡарала. Агәҭатәи Аҟынтәи ахьаҵра азы интегралтә хыԥхьаӡара ашәарақәа рыла 0.028 мацара. Абри ауп. ақәырԥшара. Ус акәызҭгьы Имарианы ишьақәыргылоуп ахархәагатә артефакт, Еиуеиԥшымкәа ишоуп токентә ццакыра, ҳара афракциақәа ҳазыԥшын, аха рыцхәқәа зегьы ракәымкәа. Дарбанзаалак аԥхьаӡара иақәшәоит Ахәҭақәа рхыԥхьаӡара ацҵаны акы-хԥа рмодельқәа иацҵаны ацәқәырԥақәа. Иарбанзаалак Амодель еиқәнархоит Ахатә сигналтәра Акьыԥхьрақәа, акомбинациақәа Атемпеи агармониеи структурақәа. Аҟазаара Ҳәарас иаҭахузеи, ари ус акәӡам Иазыҟаҵоу Аклассификатор амашинтә ҵара. Иҟам акомплект азы Аҵара, атегқәа ыҟам , конфигурациа ыҟам. Ари 30 цәаҳәа еиҵоуп. акод. Аметод агәаҭарақәа зегьы рыҵаулара инаркны 48 рҟынӡа акандидат. Иара ишәоит, Шаҟа еилыкка Иззыԥшу анапаҵаҩра Ари аҵаулара аҽаанарԥшуеит Ашьҭаҵараҵәҟьа . Нас иалихуеит Ианаало еиӷьӡоу. Азы акванттә модель миллиард азы 36 ашьаҭа апараметрқәа гәыӷрала аиааира агара 4,5 хынтә еиҳаны Анаҩстәи акандидат . Избан акәзар ари ԥышәоуп Иреиӷьу ақәныҟәара, акәымкәа аԥшааратә таблица, иара усгьы аус ауеит ахаангьы иҟамло амоделқәа ахаан имбацызт. Иара ахархәара амоуп иара убас Ахатәра, насгьы иҭыҵым амоделқәа. Избан акәзар, иара Акгьы аҭахӡамызт "абара" заанаҵ . Иара уи џьашьахәыла аус ауеит. ибзиоуп. Аклассификатор ашьаҭақәагьы аанарԥшуеит агәрагара аҩаӡара. Алҵшәақәа рыла ҳԥышәара, ҩ-ҭакк роуп Зегь реиҳа илаҟәу аҩаӡара агәра зго Иҟалеит ииашам. Абри убри аметодгьы ҿыц иазыҟаҵоу рыдыркылоит амоделқәеи аинсталляциақәеи, Уи зхы иазырхәо зегь реиҳа ихадоу модель. Избанзар архитектура Ахәҭақәа рхыԥхьаӡара аанхара имԥсахуа.
内容级嗅探：推测解码与任务分类破解
单纯获取模型结构和 Token 数量并不足以还原具体的语义活动。然而，现代推理框架为追求极致性能所引入的优化机制，却反向泄露了具体的交互内容。推测解码（Speculative Decoding: 一种利用小型草稿模型快速预测多个词元、再由大型目标模型一次性并行验证的高性能推理技术）在此处成为了信息泄漏的放大器。在 vLLM 等开源高性能推理服务引擎中，推测解码机制决定了每次验证被接受的 Token 数量完全依赖于生成文本的预测难度。
当受害者处理不同类型的生成任务时，推测解码的接受率展现出本质区别：
- 结构化文本的高接受率：代码（Code）、JSON 或标准查询语法（Search）具备极强的确定性，草稿模型预测准确率高，目标模型一次验证通过的 Token 数量较多。
- 自由文本的低接受率：发散性较强的人类自然语言（Prose/散文）随机性极高，接受率显著下滑，迫使目标模型频繁回退并重新顺序生成。
这种由于接受率变化导致的计算时间步差异，在硬件监控上形成了明显的功耗与时延“阶梯”。在测试包括 Dense 模型、混合专家模型（Mixture of Experts: 激活子网络稀疏计算的架构，简称 MoE）、BF16 以及 FP8 量化在内的 11 种不同配置后，攻击者建立起高鲁棒性的任务分类器：每 0.5 秒提取过去 5 秒的运行特征进行判定，在 40 个半秒决策窗口中，多达 31 个窗口给出完全正确的分类，仅需极短时间即可断定受害者是在输出格式化数据还是在生成自由叙述。
英文原文
Иааҳгап ҿырԥштәыс хԥа еиԥшу амоделқәа. Лама 3 8 миллиард азы Мета аҟынтә 32 шьаҭа амоуп. Алама 3.1 8 миллиард ахь, Мета аҟынтәгьы, еиԥшны ихы иаирхәоит 32-шьаҭалатәи ашьаҭа Акгьы зҵам абжьаҵарақәа. Насгьы R1, уи ауп даҽа Ламак 8 миллиард DeepSeek аҟынтә, иҟоуп ари аиӷьтәра . Аамҭа арбагақәа рҿы Ашьаҭа еиԥшым 1.6 мацара Наносекундқәа амедиантә аанкылара. Иаанхаз асигнал еиԥшуп. Ус ишыҟоугьы, ҳара Аклассификатор уажәгьы иҟоуп Аилкаара зылшо дара ртәы. Уажәы ҳара Иҵегь иҵауланы иаҳҳәап азҵаара канал. Ишыҟоу акәымкәа Амодель, изакәызеи уажәыҵәҟьа иҟанаҵоит. Ҳара ҳазхәыцуеит Ԥшь-хкык аусуцәа аидарақәа: апроза, акод, JSON, насгьы аԥшаара. Ҳара Ҳара ақәҵара ҟаҳҵоит Секундбжацыԥхьаӡа Аҵыхәтәантәи 5 ашьаҭала секундқәа аамҭа. 40-тәи асекундбжа аҟынтә Иҟан 31 ӡбара ииашоуп, насгьы ԥшьба аҭакқәа зегьы ракәын ииашоуп Иалкаау абжьыҭирала. Иара иара аҩыза аклассификатор ацны аԥхьатәи авидео, Зегьы налаҵаны агхақәа. Уи аҭсоуп ҭагылазаашьак аҳәара. Ари ршәон Иаркуп Аспекулятивтә адекодирацәара. Иара VLLM аҟны апараметр, акәымкәа архиарақәа рыла амҳәара. Абра амеханизм. Аԥхьагәаҭара Атекст анырра анаҭоит Ирыдыркылаз рхыԥхьаӡара Ажетонқәа рпроект шьаҿацыԥхьаӡа. Иара анагӡара аамҭа аԥсахуеит ашьаҿа, насгьы абри Ҳара асигнал ҭаҳаҩуеит. Ҳара ҳпротест ҟаҳҵеит 11 аконфигурациақәа: иҵару амоделқәа, еилаԥсоу аекспертцәа, BF16 и FP8. Акызаҵәык Аграфик цәырҵит еснагь, даҽакала интенсивность. Аларҵәара 70.2% GPT 20 азы миллиард 0.9% иаҿырԥшны ГЛМ азы 49 миллиард. Анаҩс 11 инаркны иалагоит Апроза зегь реиҳа иласуп, аха шанс ҳнаҭоит знызаҵәык шанс ԥшьба. Агәазҩара, Ажәылаҩ идыруеит Ԥасатәиқәа рҟынтәи амодель аслаидқәа, насгьы Аспекулятивтә Адекодркра аус ауеит. Уигьы иалкаар алшоит иарбан Атекст ахаҭа генерируется.
NVLink 互连拓展：跨芯片网络中的时序泄漏
如果说 MIG 是在单颗物理晶圆内进行的切分，那么多卡并行集群中的高速互连总线则构成了更大范围的侧信道媒介。在标准的 8 卡 H100 节点中，所有 GPU 均挂载在 NVLink（NVIDIA 研发的高带宽双向专有互连总线协议）交换网络上。当受害用户的模型采用 张量并行（Tensor Parallelism: 将单层矩阵切分并分配给多个 GPU 协同计算的技术）跨越 GPU 0 与 GPU 1 运行时，攻击者仅需租用同一台服务器中完全处于空闲或轻量工作状态的 GPU 2 即可发起渗透。
由于多卡共享 NVLink 交换矩阵，跨卡访问显存的物理路径与仲裁逻辑直接暴露了时延指纹：
- 空闲时延基线：正常情况下，GPU 2 跨总线访问 GPU 0 显存的基线时延约为 890 纳秒。
- 业务拥塞峰值：当 GPU 0 与 GPU 1 之间启动密集的前向/反向通信与张量同步时，该链路访问延迟剧烈飙升，可达 300 微秒以上。
- 信噪比与识别率：与单芯片 MIG 相比，NVLink 路径上的网络抖动导致信噪比有所下降，无法直接看清每一个物理层脉冲，但宏观时序特征依然非常清晰。在五种不同模型的测试集上，针对受害模型的分类识别率仍维持在 79.2% 的极高水准（远超随机猜测基线 20%）。
更为危险的是，该信道具备实时的流式嗅探能力。攻击者可以实时监听每一次内核发射（Kernel Launch），甚至在受害模型的端到端完整回答输出（耗时约 600 毫秒、输出不足 50 个 Token）完毕之前，便已通过前半段的传输模式捕获了其执行指纹。
英文原文
Уажәы ҳара Зынӡа иалцатәуп еицырзеиԥшу ачип аиҟаратәра. МЛГ азы Ажәылаҩ иакәзароуп убри аҟны афизикатә кристалл. Ари ажәылара аҭахрақәа. Абра архиарақәа асервер аа-Н100 змоу , еидҳәалоуп NVLink акоммутатор. Аӡхәы Атензор аус аруеит апараллелизм на GPU 0 и 1. Ажәылаҩ иҭахуп Даҽакызаҵәык GPU убри аҟны асервер, абри аҭагылазаашьаҿы GPU 2. Аиҟара-аиҟара анеирҭа NV- ала Акоммутатортә шьаҟа — уи зынӡа иҟоу афункциа. Ари стандартуп Аусура апринцип еиуеиԥшым GPU-қәа рҿы аусқәа, ацәгьара акәымкәа. МИГ насгьы атензор апараллелизмгьы ҟанаҵом Аицынхара алшоит ҳәаақәҵагак аҿы. Убри аҟнытә ари ииашаҵәҟьаны даҽа класск ашьақәыргыларақәа, акәымкәа Аиҭаҳәара мацара абри ажәылара. Апроблема ҟалоит GPU 2. Ишьҭанеиуеит Агәынкылара, ииашаҵәҟьаны иҟоу GPU 0 аҿы иҟоуп NVLink ала. Ашәаратә Аиҭаҵра аамҭа амҩан. Азаҵә Аиҭаҵра аамҭа агоит 890 наносекунд рҟынӡа . Агәаҟра иақәшәаз даналаго Аусурахь, уажәазы 300 ахь еизҳауеит микросекундқәа. Абарҭ хҩык секундбжактәи аҭаҩрақәа " асаркьақәа". Уаргьы Аԥхьаӡара улшома аблаҿы иҟоу адыргақәа. Ҳара ҳазусҭада Еиҿырԥшны иаҳцәыӡуеит МИГ ацны, уи ашьаҭақәа роуп . Абриаҟара ихараны уи абжьы ҵаҟа. Убри аҟнытә, NVLink ала икьыԥхьуеит уи Иаанхоит, иҟоуп еиҳарак аамҭалатәи, насгьы Ахәҭақәа рхыԥхьаӡара ала акәымкәа . Абра иԥаҳшәоит хә-модельк рҿы еиԥшу Архиарақәа амаҵзура. Амацара Амодель ахаҭа иаҳнаҭоит, Изакәыҵәҟьоузеи? Абри Аметод 79,2% аиашара анаҭоит. . Иҭаҳауеит ииашаҵәҟьаны Уахьзыԥшыз аамҭа анализ аҟынтәи. Лама 3,5 8 миллиард и R1 адистиллациа — уи 8 миллиард ауп Адекодирацәаратә модельқәа Гц еиԥшымзаарала. Шьҭахьҟа урҭ убраҟа еилалоит, МИГ ирласны иахьеиҟәыҭхаз Иҟарҵозма хыԥхьаӡарала ашьаҭақәа. Ахыркәшара избанзар Акоррелиациа NVLink аҟны асигнал-ашьҭыбжь аизыҟазаашьа МИГ аасҭа еицәоуп, избан акәзар Абитқәа ыӡуеит ашьаҭақәа. Аха еицәоу Акоррелиациа асигнал-абжьы — ари макьана иҟам ахьчара. 79% 20% иаҿаргыланы ашьаҭатә ҩаӡара — абри Макьана иҟаҵәҟьоу ашьҭа, абжьы акәымкәа. Раԥхьа бзиақәак ахҭысқәа. Ҳара ҳхатәы Аусураҿы аалыҵ Ажәылара ааԥшит Иаразнак ашьҭахь аҭаргылара. Амаӡа Зегьы дрышьҭаԥшуеит акернел аус арура зегьы GPU, анализқәа Агәҩара зҵоу аусуҩцәа аидареи урҭ дрылсуеит Аконвеиер зегьы ардыррақәа — иарбан Уи зегьы ирылшом аиқәыршәаҩ. Уи ари ахҭыс азгәеиҭеит. Иҵакырак акәын ҿыц иалагеит 3000 раан, еснагь урҭ рзыӡырҩра килобайт заҵәык агәынкылара, аҭыԥан Аҿыц ахь аиасра амш. килобайт заҵәык Адыррақәа шьҭын зегьы рзы апроцессор ахь ашьҭахьҟа Аамҭа, избанзар ихәарҭоу Аидара иҟан анагӡара аамҭа ахаҭа, насгьы алҵшәа акәӡам. АҨНЫҴҞА Аамҭаҵәҟьа ари 600 еиҵаны миллисекундқәа рҟынтәи Ахы инаркны аҵыхәанӡа еиҵаны 50 жетон аҭакқәа. Иҳаԥшааит Ари аԥхьа Аҭак ус иҟан абжа кьыԥхьуп.
云端 AI 基础设施防御反思：重构运行时安全边界
面对物理共享硬件层面的信息泄露，传统的“容器隔离”和“虚拟化壁垒”理念已经不足以提供完备的保护。为了抵御这类隐蔽的微架构嗅探，基础设施提供商与模型运营方必须重新审视系统级防御契约：
- 慎审调度与物理共置策略：云调度器在分配 GPU 实例时，对于处理高敏业务（如企业级核心资产模型或隐私数据处理）的租户，必须避免与不可信租户共享同一块物理 GPU（无论是否开启 MIG）。
- 权衡架构隔离与性能代价：必须明确技术特性的取舍。MIG 虽然提供了一定程度的片上隔离，但阻断了单实例内部跨节点的张量并行；而跨多卡张量并行虽然提升了推理吞吐，但通过 NVLink 交换机引入了更大范围的全局侧信道暴露。运营方必须在互联性能与攻击面扩大之间建立量化的风险评估机制。
- 主动式微架构异常监控：防御者不能再将 GPU 视作黑盒设备。正如 Stealthium 在其安全监控实践中所展示的，监控系统必须主动分析各 GPU 实例上的内核执行特征与内存访问模式。一旦捕获到具有周期性、异常短时隙读写等侧信道探测特征的作业，应立即触发警报并将其隔离或动态迁移。
共享硬件的执行时序是物理规律的必然投射。只有在硬件设计、集群调度与运行时行为监测三方协同建立动态防护，才能从根本上保障云端大模型服务的数据与知识产权安全。
英文原文
Убри азын, х-хыркәшара хадақәак. Актәи, ақәыргылара —абри ауп аоператорцәа ииашаҵәҟьаны анапхгара, убри аҟнытә МИГ- Аԥыҵәҵәақәа Агәрамгара Ақьырауаҩ иааигәара сенситивтә модель. Аханы- ҩбатәи, идыртәуп акомпромиссқәа. МИГ рыбжьара иҟоу аимадара алнахуеит анодқәа, уи иаанагоит аҟамзаара Атензортә параллелизм на МИГ. Ашардинг NVLink ала уи аҭыԥан аҳәаақәа Аамҭалатәи ацәцара мацара апараметрқәа, акәымкәа ҩаӡарақәа рдыррақәа. Аханы- Ахԥатәи, угәуҽаныз GPU ахаҭа ала. Игәра ганы уҟаз Ахылаԥшратә инфраструктура активла игәанаҭоит нагӡаӡам Аиқәыршәага аԥырхага аҵоуп адҵа. Абри ауп Иҟаиҵозеи Стелти? Ус еиԥш иҟоу аарԥшра ишиашоу азыҳәарақәа ядро аҟазшьала. Аиҩшара GPU ҵакыс иамоуп анагӡара аамҭа алшоит Амодель аҭыжьразы, Аццакреи аусуреи аартра. Иара ииашоуп NVLink азыгьы , ҳәа акгьы аҭахымкәа иарбан эксплуатациоу. Амаӡа Ишыҟоу ибоит мҩаԥысуеит Аамҭаҵәҟьа аамҭа. Еиҳараӡак Аиҿкаарақәа уажәгьы ус ҟарҵаӡом Ари аҩаӡара амоуп абара. Даҽазнык ҭабуп аҭҵааҩцәа из Бехинд Барс. Абарҭқәа зегьы Аҳасабырба шьаҭас иамоуп русураҿы. Иҭабуп зегьы аревизиа аҟаҵара.