Lava löytää tuhansia avoimia GPU-palvelimia ja korkean vakavuuden NVIDIA-valvonta-virheen

Tekoälymallin taustalla oleva infrastruktuuri voi paljastaa yllättävän määrän tietoa ennen kuin kukaan murtautuu siihen. Julkinen valvontapäätepiste voi paljastaa palvelimen GPU:t, niiden käyttöasteen ja niihin liittyvän ohjelmiston. Sama valvontapalvelun haava voi muuttaa näkyvyyden saatavuusriskiksi.

Lavan uusi tutkimus, joka julkaistiin 8. lokakuuta, kuvaa molemmat ongelmat. Turvallisuusyritys löysi noin 2 100 julkisesti saavutettavaa NVIDIA DCGM Exporter -isäntää, jotka raportoivat yli 12 000 ainutlaatuista GPU:ta ilman todennusta. Tutkimuksensa aikana Lava havaitsi myös korkean vakavuuden haavoittuvuuden, jonka avulla todenneton hyökkääjä voi kuluttaa resursseja ja kaataa GPU-valvonnan.

NVIDIA on määritellyt ongelmalle tunnuksen CVE-2026-47483, arvioinut sen 8.2, Korkea ja julkaissut päivityksen. Tulokset tuovat valoon vähemmän kiiltävän osan tekoälyinfrastruktuurista: kalliita laskentaresursseja tarkkailevat palvelut tarvitsevat oman suojauksensa.

Mitä tutkijat löysivät – ja mitä numerot tarkoittavat

Lavan alkuperäinen tutkimus, jonka on tehnyt Michael Katchinskiy kuvaa neljää skannausta, jotka suoritettiin maaliskuun ja toukokuun 2026 välillä. Luvut siis edustavat havaintoja kyseiseltä tutkimuskaudelta, eivätkä ole reaaliaikainen laskelma edelleen avoinna olevista järjestelmistä tänään.

Isännät palauttivat GPU-telemetriaa ilman todennusta. Lava havaitsi datakeskuksen kiihdyttimiä, mukaan lukien H100:t, H200:t ja Blackwell Ultra B300:t, sekä RTX 4090- ja 5090-järjestelmiä. Yritys arvioi, että havaittujen GPU:iden laitteistokustannus oli yli 100 miljoonaa dollaria, perustuen likimääräisiin markkina-arvoihin. Tämä luku kuvaa laitteiston arvoa, ei hyökkäyksen aiheuttamia tappioita.

Noin neljännes avoimista DCGM-isännistä teki myös sisäiset Go-profilointipäätepisteet saataville. Tämä alaryhmä on tärkeä: avoin mittaripäätepiste ja saavutettava haavoittuva profilointirajapinta ovat liittyviä, mutta erillisiä havaintoja. Olisi harhaanjohtavaa kuvailla kaikkia yli 12 000 GPU:ta vahvistetuiksi tämän haavoittuvuuden uhreiksi.

Lavan mukaan se toistoi resurssien ehtymisen hallitussa ympäristössä sen sijaan, että olisi hyökännyt julkisia käyttöönottoja vastaan. Tutkimus osoittaa mahdollisen hyökkäyspolun; se ei kuitenkaan vahvista, että havainnoidut organisaatiot olisivat kokeneet hyväksikäyttöä tai että niiden mallidataa olisi varastettu.

Miksi GPU-valvonta paljastaa enemmän kuin pelkkä tilavalaisin

DCGM tarkoittaa Data Center GPU Manageria. NVIDIA:n DCGM Exporter -dokumentaatio selittää, että vienti kerää valittuja GPU-telemetriakenttiä ja tarjoaa ne Prometheus‑järjestelmän kuluttamassa muodossa. Sen mittaripäätepistettä käytetään tyypillisesti valvontajärjestelmien seuramaan GPU-solmujen kuntoa ja toimintaa.

Lämpötila, käyttöaste, muistin käyttö, virrankulutus ja virhetapahtumat ovat operaattoreille hyödyllisiä, koska ne kuvaavat laskennan käyttäytymistä. Kun sama tieto on ulkopuolisille saatavilla, siitä tulee inventointi- ja tiedustelulähde.

Avoimet vastaukset voivat paljastaa laitteistomallit ja operatiiviset yksityiskohdat. Toistuvat mittaukset voivat antaa vihjeitä ruuhka-aikoihin ja toistuviin toimintoihin. Nämä vihjeet eivät ole todisteita siitä, että tiettyä mallia koulutettaisiin tai palveltaisiin, mutta ne voivat auttaa ulkopuolista rajaamaan, mitä ympäristössä on ja milloin se on aktiivinen.

Tämä ero on säilyttämisen arvoinen. GPU-telemetrian lukeminen ei ole sama asia kuin mallin painojen, koulutusdatan tai kehotteiden lukeminen. Infrastruktuuritiedot voivat silti olla arvokkaita: hyökkääjä, joka saa selville, mitkä komponentit ja versiot ovat läsnä, saa tarkemman lähtökohdan kuin joku, joka kohtaa läpinäkymättömän palvelimen.

Haavoittuvuus kohdistuu valvontapalveluun

NVIDIA:n turvallisuustiedote paikantaa haavan DCGM Exporterin /debug/pprof päätepisteet. Samanaikaiset todennetut profilointipyynnöt voivat aiheuttaa hallitsematonta resurssien kulutusta, mahdollisesti palvelunestohyökkäyksen ja tietojen paljastumisen. Neuvonta kiittää Lavan Michael Katchinskiyä sen raportoimisesta.

Profilointi on laillinen diagnostiikkakyky. Se auttaa kehittäjiä tutkimaan sovelluksen sisäistä CPU- ja muistikäyttäytymistä. Turvallisuusongelma syntyy, kun mahdollisesti kallis sisäinen funktio on ulkopuolisen kutsujan saavutettavissa ilman asianmukaisia hallintamekanismeja.

Lavan mukaan tutkijat aluksi epäilivät operaattorin konfiguraatiovirhettä, ja toistivat käyttäytymisen NVIDIA:n virallisella kontilla. He osoittivat, että resurssien ehtyminen voi kaataa viennin, poistaen näkyvyyden GPU:n terveyteen. CPU- ja muistikapasiteetin paine voi myös vaikuttaa palvelinta jakaviin koulutus- tai inferenssityökuormiin.

Viennin kaatuminen ei välttämättä pysäytä itse GPU-työkuormaa. Välitön vaikutus on valvonnan menetys; häiriöt naapurityökuormiin riippuvat resurssien eristyksestä ja käyttöönotosta. Tämä on ohjelmistopalvelun haavoittuvuus GPU-infrastruktuurin ympärillä, eikä todiste GPU-silikonin virheestä.

Ero on merkityksellinen operatiivisesti. Jos valvonta katoaa työkuorman hidastuessa, vastaajien on tutkittava, onko tarkkailujärjestelmä itsekin epäonnistunut. Jokaisen puuttuvan mittarin käsitteleminen pelkkänä instrumentointihäiriönä voi viivästyttää resurssikulutustapahtuman havaitsemista.

Altistuminen ulottuu GPU-kerroksen ulkopuolelle

Lavan ilmoitus kuvaa myös 12 096 julkisesti saavutettavaa Node Exporter -isäntää. Node Exporter raportoi palvelin- ja käyttöjärjestelmätietoja sen sijaan, että se toimisi samassa roolissa kuin DCGM Exporter. Paljastetut tiedot sisälsivät laitteisto- ja ohjelmistoyksityiskohtia, jotka voisivat auttaa ulkopuolisia ymmärtämään GPU-työkuormia ympäröiviä järjestelmiä.

Nämä lukumäärät tulisi pitää erillään. Node Exporter -havaintoja on laajempi infrastruktuuri‑altistustapaus, ei toinen luku isännistä, jotka on vahvistettu haavoittuviksi CVE‑2026‑47483:n vuoksi. Lukujen yhdistäminen hämärtäisi, mitä palvelua ja riskiä kukin luku edustaa.

Laajempi merkitys on, että tekoälyturvallisuuden on sisällettävä valvonta‑ ja hallintakerros. Mallin käyttöoikeuksien hallinta ei automaattisesti suojaa mallin vieressä käytettävää mittauspalvelua. Organisaatio voi suojata inference‑API:nsä, mutta jättää toisen palvelun samassa infrastruktuurissa avoimeksi internetille.

Päivitykset ja pääsyn rajoittaminen ratkaisevat eri ongelmia

Turvapäivitys on jo saatavilla. NVIDIA:n tiedote tunnistaa DCGM Exporter 4.8.2 päivitettynä versiona ja listaa myös DCGM 4.5.3. Operaattorien tulisi tarkistaa nykyinen ohjeistus ja tuetut julkaisuparit omassa käyttöönotossaan sen sijaan, että näitä kahta komponenttiversiota pidettäisiin vaihdettavina.

Päivitys korjaa ilmoitetun haavoittuvuuden. Se ei kuitenkaan sinänsä takaa, että mittauspäätepiste on asianmukaisesti rajoitettu. Päivitetty vienti voi edelleen paljastaa telemetriaa, jos se on julkisesti saavutettavissa ilman pääsynhallintaa.

The Prometheus turvamalli varoittaa nimenomaisesti komponenttien HTTP‑päätepisteiden paljastamisesta julkisille verkkoille ilman asianmukaisia toimenpiteitä. Sen ohjeistus kattaa mittarit, API:t ja Go‑profilointirajapinnat, ja se tunnistaa näiden palveluiden ylikuormittumisen mahdollisuuden.

AI‑infrastruktuuria tarkasteleville tiimeille tämä ehdottaa käytännön järjestystä:

• Inventoi käyttöönotetut valvontapalvelut. Määritä, mitkä vientipalvelimet, Prometheus‑palvelimet ja diagnostiikkarajapinnat ovat käynnissä, kuka niitä omistaa ja miten ne ovat saavutettavissa.
• Sovella toimittajan turvapäivityksiä. Tarkista todellinen käyttöönotettu ohjelmisto‑ tai konttiversio, älä pelkästään konfiguraatiotiedostoa, jota ei ole vielä otettu käyttöön.
• Rajoita valvonnan pääsyä. Käytä yksityisiä verkkoja sekä asianmukaisia palomuuri‑, turvallisuusryhmä‑ ja pääsynhallintatoimia, jotta telemetria on saatavilla vain valvontainfrastruktuurille, joka sitä tarvitsee.
• Arvioi profilointivaatimukset. Lava suosittelee jättämään --enable-pprof pois käytöstä, ellei profilointia erikseen tarvita; nykyisissä versioissa se on valinnainen.
• Vahvista näkyvyys korjauksen jälkeen. Varmista, että valtuutettu keräys toimii edelleen ja että odottamattomat vientipalvelimen virheet havaitaan.

Nämä vaiheet käsittelevät erillisiä kysymyksiä: sisältääkö ohjelmisto haavoittuvuuden, voiko epäluotettava taho saavuttaa sen, ja havaitaanko valvontavirhe. Yhden ratkaiseminen ei ratkaise muita.

AI‑infrastruktuurilla on oltava selkeä turvallisuuksien omistaja

GPU‑kapasiteetti kattaa usein palveluntarjoajan hallinnoiman infrastruktuurin ja asiakkaan käyttämät palvelut. Hyödyllinen turvallisuusarviointi tunnistaa, kuka ylläpitää kutakin komponenttia, kuka hallitsee verkon altistumista ja kuka vastaa, kun julkinen päätepiste raportoidaan. Ilman näitä määrittelyjä valvontapalvelu voi sijaita kahden tiimin välissä, jotka kumpikin odottavat toisen suojaavan sen.

Lavan tutkimuksen keskeinen opetus on käytännöllinen: AI‑laskennan suojaaminen sisältää myös niiden järjestelmien suojaamisen, jotka mittaavat ja hallinnoivat sitä. Uudet havainnot dokumentoivat merkittävän historialliset altistukset, kun taas NVIDIA:n ohjeistus tarjoaa korjauspolun ilmoitetulle haavoittuvuudelle. Operaattoreille prioriteetti on tarkistaa nykyinen käyttöönotto, soveltaa korjaus ja pitää sisäiset tarkkailupalvelut niiden suunnitellun luottamusrajan sisällä.