Lava odhalila tisíce odhalených GPU serverů a vysoce závažnou chybu monitorování NVIDIA

Infrastruktura stojící za AI modelem může odhalit překvapivé množství informací, ještě než se do ní někdo vlouče. Veřejný monitorovací koncový bod může zveřejnit GPU v serveru, jejich využití a související software. Chyba ve stejné monitorovací službě může z viditelnosti udělat riziko dostupnosti.

Nový výzkum společnosti Lava, zveřejněný 8. října, popisuje oba problémy. Bezpečnostní firma identifikovala přibližně 2 100 veřejně přístupných hostitelů NVIDIA DCGM Exporter, které hlásily více než 12 000 unikátních GPU bez autentizace. Během svého šetření Lava také objevila vysoce závažnou zranitelnost, která by mohla neoprávněnému útočníkovi umožnit vyčerpání zdrojů a zhroucení monitorování GPU.

NVIDIA přiřadila problému CVE-2026-47483, ohodnotila jej jako 8.2, vysoká a vydala aktualizaci. Zjištění přináší do popředí méně okouzlující část AI infrastruktury: služby používané k sledování drahého výpočtu potřebují vlastní ochranu.

Co výzkumníci zjistili – a co čísla znamenají

Lava originální výzkum Michaela Katchinskiyho popisuje čtyři skeny provedené mezi březnem a květnem 2026. Celková čísla tedy představují pozorování během tohoto výzkumného období, nikoli aktuální počet systémů, které jsou dnes stále odhaleny.

Hostitelé vraceli GPU telemetrii bez autentizace. Lava zaznamenala datová centra s akcelerátory, včetně H100, H200 a Blackwell Ultra B300, stejně jako systémy RTX 4090 a 5090. Společnost odhadla, že pozorovaná GPU představují více než 100 milionů dolarů v hardwaru, na základě přibližných tržních hodnot. Toto číslo popisuje hodnotu hardwaru, nikoli ztráty způsobené útokem.

Zhruba čtvrtina odhalených DCGM hostitelů také zpřístupnila interní Go profilovací koncové body. Tento podskupina je důležitá: odhalený metrikový koncový bod a dosažitelné zranitelné profilovací rozhraní jsou související, ale odlišná zjištění. Bylo by zavádějící popisovat všech 12 000+ GPU jako potvrzené oběti této zranitelnosti.

Lava uvádí, že vyčerpání zdrojů reprodukovala v kontrolovaném prostředí, místo aby útočila na veřejná nasazení. Výzkum ukazuje potenciální útočnou cestu; neprokazuje, že pozorované organizace utrpěly zneužití nebo že byla odcizena data jejich modelů.

Proč monitorování GPU odhaluje více než jen kontrolku

DCGM znamená Data Center GPU Manager. NVIDIA dokumentace DCGM Exporteru vysvětluje, že exportér sbírá vybrané pole GPU telemetrie a poskytuje je ve formátu, který může Prometheus zpracovat. Jeho metrikový koncový bod je typicky používán monitorovacími systémy k sledování stavu a aktivity GPU uzlů.

Teplota, využití, využití paměti, spotřeba energie a chybové události jsou pro operátory užitečné, protože popisují, jak se výpočet chová. Když jsou stejné informace přístupné cizím osobám, stávají se zdrojem inventáře a průzkumu.

Odhalené odpovědi mohou odhalit modely hardwaru a provozní podrobnosti. Opakovaná měření mohou poskytnout vodítka o vytížených obdobích a opakující se aktivitě. Tato vodítka nejsou důkazem, že se konkrétní model trénuje nebo poskytuje, ale mohou pomoci externímu pozorovateli zúžit, co prostředí obsahuje a kdy je aktivní.

Toto rozlišení stojí za zachování. Čtení GPU telemetrie není totéž jako čtení vah modelu, tréninkových dat nebo výzev. Přesto může být informace o infrastruktuře cenná: útočník, který zjistí, jaké komponenty a verze jsou přítomny, má konkrétnější výchozí bod než někdo, kdo čelí neprůhlednému serveru.

Zranitelnost cílí na monitorovací službu

bezpečnostní bulletin NVIDIA umisťuje chybu v DCGM Exporteru /debug/pprof koncových bodech. Současné neautentizované požadavky na profilování mohou způsobit nekontrolovanou spotřebu zdrojů, s potenciálním odmítnutím služby a únikem informací. Poradenství oceňuje Michaela Katchinskiyho ze společnosti Lava za nahlášení.

Profilování je legitimní diagnostická schopnost. Pomáhá vývojářům zkoumat chování CPU a paměti uvnitř aplikace. Bezpečnostní problém nastává, když se potenciálně nákladná interní funkce stane přístupnou nedůvěryhodnému volajícímu bez vhodných kontrol.

Podle Lava výzkumníci zpočátku podezřívali chybu v konfiguraci operátora, poté reprodukovali chování pomocí oficiálního kontejneru NVIDIA. Ukázali, že vyčerpání zdrojů může zhroucení exportéru, čímž odstraní viditelnost stavu GPU. Tlak na CPU a paměť může také ovlivnit tréninkové nebo inferenční úlohy sdílející server.

Zhroucení exportéru nutně neukončí samotnou GPU úlohu. Okamžitým efektem je ztráta monitorování; interference s sousedními úlohami závisí na izolaci zdrojů a nasazení. Jedná se o zranitelnost softwarové služby související s GPU infrastrukturou, nikoli o důkaz chyby v GPU silici.

Rozlišení má provozní význam. Pokud během zpomalení zátěže zmizí monitorování, musí respondenti prozkoumat, zda samotný sledovací systém selhává. Považovat každou chybějící metriku za nepříjemnost instrumentace by mohlo oddálit rozpoznání incidentu spotřeby zdrojů.

Expozice sahá dál než vrstva GPU

Lava ve svém oznámení také popisuje 12 096 veřejně přístupných hostitelů Node Exporter. Node Exporter hlásí informace o serveru a operačním systému, nikoli stejnou roli jako DCGM Exporter. Zveřejněná data zahrnovala hardwarové a softwarové podrobnosti, které by mohly pomoci externím stranám pochopit systémy obklopující GPU pracovní zátěže.

Tyto počty by měly zůstat oddělené. Pozorování Node Exporter představují širší zjištění expozice infrastruktury, nikoli další počet hostitelů potvrzených jako zranitelní vůči CVE‑2026‑47483. Kombinování čísel by zakrylo, která služba a jaké riziko každý počet představuje.

Širší důsledek je, že bezpečnost AI musí zahrnovat i vrstvu monitorování a správy. Ovládací mechanismy přístupu k modelu automaticky nechrání metrickou službu nasazenou vedle modelu. Organizace může zabezpečit své inference API a zároveň nechat jinou službu na stejné infrastruktuře otevřenou k internetu.

Záplata a omezení přístupu řeší různé problémy

Bezpečnostní aktualizace je již k dispozici. Bulletin NVIDIA uvádí DCGM Exporter 4.8.2 jako aktualizovanou verzi a také uvádí DCGM 4.5.3. Provozovatelé by měli konzultovat aktuální upozornění a podporované párování verzí pro své nasazení, místo aby považovali tyto dvě čísla verzí komponent za zaměnitelná.

Aktualizace řeší odhalenou chybu. Samotná nezaručuje, že koncový bod metrik je řádně omezen. Opravený exportér může i nadále zveřejňovat telemetrii, pokud zůstane veřejně přístupný bez kontrol přístupu.

Model model zabezpečení Prometheus výslovně varuje před vystavováním HTTP koncových bodů komponent veřejným sítím bez vhodných opatření. Jeho pokyny zahrnují metriky, API a rozhraní Go profilování a uznávají možnost přetížení těchto služeb.

Pro týmy, které přezkoumávají svou AI infrastrukturu, to naznačuje praktické pořadí:

• Inventarizujte nasazené monitorovací služby. Zjistěte, které exportéry, servery Prometheus a diagnostická rozhraní běží, kdo je vlastní a jak jsou dosažitelné.
• Použijte bezpečnostní aktualizace dodavatele. Ověřte skutečnou nasazenou verzi softwaru nebo kontejneru, ne jen konfigurační soubor, který ještě nebyl nasazen.
• Omezte přístup k monitorování. Použijte privátní síťování a vhodné firewall, bezpečnostní skupiny a kontrolu přístupu, aby telemetrie byla dostupná jen monitorovací infrastruktuře, která ji potřebuje.
• Revidujte požadavky na profilování. Lava doporučuje nechat --enable-pprof zakázáno, pokud není profilování výslovně vyžadováno; v současných verzích je to volitelné.
• Ověřte viditelnost po nápravě. Potvrďte, že autorizovaný sběr stále funguje a že neočekávané selhání exportéru je zaznamenáno.

Tyto kroky řeší různé otázky: zda software obsahuje chybu, zda k němu může přistoupit nedůvěryhodná strana, a zda bude selhání monitorování detekováno. Vyřešení jedné nevyřeší ostatní.

AI infrastruktura potřebuje explicitního vlastníka bezpečnosti

Kapacita GPU často zahrnuje infrastrukturu provozovanou poskytovatelem i služby nasazené zákazníkem. Užitečné bezpečnostní přezkoumání určuje, kdo udržuje jednotlivé komponenty, kdo řídí jejich síťovou expozici a kdo reaguje, když je nahlášen veřejný koncový bod. Bez těchto přiřazení může monitorovací služba ležet mezi dvěma týmy, z nichž každý očekává, že druhý ji zabezpečí.

Ústřední ponaučení výzkumu Lava je praktické: ochrana výpočetního výkonu AI zahrnuje ochranu systémů, které jej měří a spravují. Nová zjištění dokumentují významnou historickou expozici, zatímco bulletin NVIDIA poskytuje cestu k nápravě odhalené zranitelnosti. Pro provozovatele je prioritou ověřit současné nasazení, aplikovat opravu a udržet interní sledovací služby v rámci jejich zamýšlené důvěryhodné hranice.