Dieser Artikel stellt Rank-One-Model-Editing-(ROME)-Angriffe vor, bei denen ein bösartiges Python-Modul die Gewichte eines Modells im GPU-Speicher umschreibt, um dessen Antworten zu verfälschen. Er erklärt, warum CPU-zentrierte Sicherheitstools diese Angriffsklasse übersehen: Auf der Festplatte ändert sich kein Byte, und es erscheint kein verdächtiger Prozess. Klassische EDR- und ADR-Werkzeuge überwachen Dateizugriffe, Kindprozesse und Netzwerkaktivität, was ROME-Angriffe nicht zwangsläufig auslösen.
Die Autoren führen einen ROME-Angriff in ihrem Labor durch und zeigen, wie Stealthium die Manipulation mit einem Laufzeitsensor erkennt. Der Sensor ordnet jeden CUDA-Kernel-Start dem Python-Code zu, der ihn ausgelöst hat. Laufende Forschung erweitert dies, um Gewichtsänderungen zusammen mit dem Aufrufstapel zu erkennen, der sie verursacht hat.
Der Beitrag argumentiert, dass GPU-Workloads in Python beginnen, wo Code über Paketimporte, beim Start geladene .pth-Dateien, deserialisierte Modelldateien sowie an exec() oder eval() übergebene Zeichenketten eingeschleust werden kann. Als aktuelle Vorfälle werden die Kompromittierung des lightning-Pakets und die des LiteLLM genannt, die beide beim Import oder beim Start des Interpreters bösartigen Code ausführten, sowie gepickelte Hugging-Face-Modelle, die Reverse Shells öffneten.
Die Autoren kommen zu dem Schluss, dass die Laufzeitsicherheit für KI Aktivitäten über Slurm oder Kubernetes, die CUDA-Laufzeitumgebung und die GPU-Aktivität korrelieren sollte und zusätzlich Modellgewichte analysieren sowie Berechnungen prüfen muss, während sie auf dem Gerät ausgeführt werden.
Quelle: Hacker News · Zusammengefasst von HeadlinesBriefing