你的 GPU 邻居能听到你的模型——H100 计时侧信道演示

Branislav Brzak 演示了一种针对 H100 的计时侧信道：仅探测攻击者自身内存，不读取受害者内存、不利用软件漏洞，利用约三微秒的额外延迟推断模型深度与解码速度，并区分代码、散文、JSON、检索等工作负载类别。作者明确将这种推断与恢复实际提示或答案区分开，强调攻击观察的是时序而非内容；内存与计算隔离不能自动消除影响整个 GPU 的硬件操作信号。演示中的工作负载推断依赖推测解码，相似解码速度使单纯节奏特征较弱，需结合层信号区分架构相近的模型。

AI推荐理由 该演讲展示了一种针对 H100 的 GPU 计时侧信道：仅探测攻击者自身内存，不读取受害者内存、不利用软件漏洞，通过约三微秒的额外延迟推断模型深度与解码速度，并区分代码、散文、JSON、检索等工作负载类别。作者明确区分了工作负载推断与恢复实际提示或答案，指出内存与计算隔离不能自动消除硬件操作信号，且演示中的工作负载推断依赖推测解码。这是有具体实验方法与明确局限的安全研究，对多租户 GPU 隔离与 AI 安全有实际价值；但为会议演讲摘要，缺少完整论文与可复现细节。