云端 GPU 的邻居只看时序，就能认出你的模型吗？

导读

共享 GPU 即使隔开显存，另一个租户仍可能从自己的读取时序推测模型运行情况。Stealthium 研究员 Branislav Brzak 展示，同卡实例之间约三微秒的延迟差可以形成模型指纹，虽然不能还原提示词或具体回答。团队反复测量攻击者自己缓存的读取时间，再分析生成节奏和模型层数；在其 H100 测试中，模型架构与深度识别准确率为 97%。工作负载分类有更窄的条件：攻击者需知道模型身份，目标还要开启非默认的推测解码。跨 GPU 的实验能观察生成节奏，但层级信号消失，五模型识别率为 79.2%。团队也演示自家监控产品如何发现反复读取小块内存的异常探针。Brzak 建议运营方考虑租户放置和部署方式，并监控 GPU 内核中的异常探测行为。