Eclypsium 报告：攻击者可篡改核心基础设施污染 AI 模型

AI系统依赖复杂的硬件网络。只要攻破其中任何一个组件，攻击者就可能篡改模型权重。

Eclypsium的报告指出，当AI模型启动时，“其运行时状态由软件、固件、内存控制器、管理处理器和I/O设备构成的层级体系控制”，如果黑客能够篡改其中任何一个环节，就都可能借此对模型及其结果施加影响。

最容易下手的目标是运行模型的主机。这类机器依赖操作系统、内核、显卡驱动以及其他软硬件组件，因此和其他计算机一样容易受到恶意软件攻击，包括那些通过侵入设备固件、在操作系统层面以下建立持久化驻留的rootkit。

第三方组件同样为篡改模型提供了路径，例如固件更新服务、AI编排代理和管理控制器硬件。Eclypsium在报告中表示：“管理平面一旦被攻破，就可能实现固件修改、隔离控制变更、对连接设备的直接控制，或进入工作负载的其他特权路径。”

芯片厂商使用数据处理单元（DPU）来承担运行AI模型的部分工作负载，但正因为DPU执行着如此重要的处理任务，它们也可能成为黑客改变模型运行状态的途径。Eclypsium表示：“正是这种定位让相关访问变得敏感，也正是这种定位让经过妥善保护的DPU在独立监控和执行方面具有价值。”该公司与Nvidia合作开展了这项研究。

报告描述了一项模型篡改技术的演示：该技术在传统安全检查完成之后改变模型的运行状态，从而让模型误以为自身的完整性已经成功通过验证。

研究人员表示：“模型文件本身无需更改。容器、模型哈希以及磁盘上的签名制品都可以保持有效，而选定的运行时权重却已在内存中被替换。”

报告称，除Nvidia外，AMD、Intel和Arm的系统同样容易受到这类技术影响。

Eclypsium表示，芯片厂商应当效仿Nvidia的做法，借助DPU在AI系统之外独立执行安全策略，但同时也要为DPU本身提供充分的保护。这家安全公司还建议企业准确掌握其AI系统中所有组件的清单，将这些组件纳入漏洞处理流程，并仔细审查运行在DPU等关键硬件上的第三方软件。

Eclypsium研究人员写道：“每一套AI基础设施栈都包含特权组件，每个组件都有自己的固件、软件、更新流程和供应链。因此，可信AI要求具备查看和验证这些组件的能力，而不是想当然地认为模型边界始于容器。”