Comment trois chercheurs de l'Université de Toronto ont découvert une vulnérabilité du GPU qui pourrait menacer les modèles d'IA
infohightech ·
Une attaque réussie sur les GPU exécutant des modèles d'IA pourrait entraîner des « dommages cérébraux catastrophiques » au modèle et à sa précision, avertissent les chercheurs. En effet, une équipe d'informaticiens de l'Université de Toronto a récemment découvert qu'un certain type d'attaque matérielle est efficace contre les unités de traitement graphique (GPU), les moteurs informatiques de base qui alimentent les modèles d'intelligence artificielle et les services d'apprentissage automatique basés sur le cloud d'aujourd'hui.
Les chercheurs ont découvert qu'une attaque Rowhammer, connue pour affecter la mémoire des unités centrales de traitement (CPU), est également efficace contre les GPU équipés de mémoire GDDR (Graphics Double Data Rate). La GDDR est conçue pour le transfert de données à haut débit et est couramment utilisée dans les cartes graphiques.
Une attaque réussie sur les GPU exécutant des modèles d'IA pourrait entraîner des « dommages cérébraux catastrophiques » avec une précision du modèle chutant de 80 % à seulement 0,1 %, déclare Gururaj Saileshwar , professeur adjoint au département d'informatique de la Faculté des arts et des sciences.
Une telle dégradation pourrait avoir de graves conséquences sur les applications d’IA qui dépendent de ces modèles – de l’analyse d’imagerie médicale dans les hôpitaux aux systèmes de détection de fraude dans les banques.
Lors d'une attaque Rowhammer, les cellules mémoire sont manipulées pour transformer des bits (de minuscules fragments de données) en accédant rapidement et à plusieurs reprises à des rangées adjacentes de cellules. Cela provoque des interférences électriques qui entraînent des erreurs dans des zones mémoire auxquelles l'attaquant n'a pas directement accédé, lui permettant potentiellement de contourner la sécurité ou de prendre le contrôle d'un système.
« Traditionnellement, la sécurité a été pensée au niveau de la couche logicielle, mais nous constatons de plus en plus d'effets physiques au niveau de la couche matérielle qui peuvent être exploités comme des vulnérabilités », explique Saileshwar, qui est nommé conjointement au département Edward S. Rogers Sr. de génie électrique et informatique de la Faculté des sciences appliquées et de l'ingénierie.
En collaboration avec Chris (Shaopeng) Lin, doctorant en informatique en deuxième année, et Joyce Qu , étudiante en informatique en quatrième année de licence , Saileshwar a développé une attaque GPUHammer de validation de principe ciblant la mémoire GDDR6 d'une carte graphique NVIDIA RTX A6000, largement utilisée pour le calcul haute performance. Ils ont découvert qu'une simple modification de bit pour modifier l'exposant du poids d'un modèle d'IA pouvait entraîner une réduction considérable de la précision du modèle.
« Cela introduit une nouvelle façon dont les modèles d'IA peuvent échouer au niveau matériel », a déclaré Saileshwar, qui a co-écrit un article avec Lin et Qu qui a été accepté au USENIX Security Symposium 2025 , une conférence de premier plan sur la sécurité informatique.
Les utilisateurs de GPU les plus exposés sont ceux qui gèrent des environnements cloud, et non les utilisateurs individuels, à domicile ou au bureau. Dans le cloud, plusieurs utilisateurs peuvent accéder simultanément au même GPU, ce qui permet à un pirate de falsifier les données traitées par un autre utilisateur.
Saileshwar souligne que les chercheurs ont dû tenir compte des différences clés entre la mémoire du CPU et celle du GPU. Les GPU sont plus difficiles à cibler en raison de leurs taux de rafraîchissement mémoire plus rapides, de leur latence mémoire plus lente et d'autres différences architecturales. Finalement, les chercheurs ont exploité le parallélisme du GPU – sa capacité à exécuter plusieurs opérations simultanément – pour optimiser leurs schémas de frappe. Cet ajustement a permis les inversions de bits qui ont démontré la réussite d'une attaque.
Ce n'était pas facile. « Mettre en place des GPU, c'est comme frapper à l'aveugle », explique Saileshwar, soulignant que l'équipe a failli abandonner après des échecs répétés à déclencher des inversions de bits.
Sur les processeurs, les chercheurs peuvent utiliser des outils pour inspecter l'interface mémoire et comprendre le comportement des accès mémoire et la manière dont les instructions sont envoyées du processeur à la mémoire. Cependant, comme les puces mémoire GPU sont soudées directement sur la carte GPU, il est difficile de réaliser des inspections similaires, explique Saileshwar. Le seul signal observé par l'équipe était l'inversion de bits.
Plus tôt cette année, les chercheurs ont divulgué leurs conclusions en privé au géant des GPU NVIDIA, aujourd'hui l'entreprise la plus valorisée au monde. En juillet, l'entreprise américaine a publié un avis de sécurité à l'intention de ses clients.
La solution proposée par NVIDIA consiste à activer une fonctionnalité appelée code de correction d'erreur (ECC), capable de repousser une attaque GPUHammer. Cependant, les chercheurs ont constaté que cette solution ralentissait les tâches d'apprentissage automatique jusqu'à 10 %. Ils ont également averti que de futures attaques impliquant davantage de retournements de bits pourraient même submerger les protections ECC.
Les résultats soulignent la nécessité d’accorder une attention accrue à la sécurité des GPU – un domaine dans lequel Saileshwar affirme que le travail « ne fait que commencer ».
Des investigations plus poussées révéleront probablement d'autres problèmes. Et c'est important, car nous exécutons des charges de travail extrêmement précieuses sur des GPU. Les modèles d'IA sont utilisés dans des contextes réels comme la santé, la finance et la cybersécurité. Si des vulnérabilités permettent aux attaquants de falsifier ces modèles au niveau matériel, nous devons les identifier avant qu'elles ne soient exploitées.