Your GPU Neighbor Can Hear Your Model — Branislav Brzak, Stealthium

Branislav Brzak montre qu'un canal auxiliaire temporel sur un GPU H100 partagé permet de deviner l'activité d'un autre locataire : profondeur du modèle, vitesse de décodage, type de tâche.

Dans cette conférence AI Engineer, Branislav Brzak (Stealthium) démontre une attaque par canal auxiliaire sur un GPU H100 découpé entre plusieurs clients. L'attaquant ne lit que sa propre mémoire, sans exploiter de bug logiciel : quelques microsecondes de latence supplémentaire suffisent à trahir l'activité d'un voisin. À partir de lectures mémoire répétées, d'une analyse fréquentielle et des signatures de couches, il infère la profondeur du modèle, son rythme de génération de tokens et même la catégorie de travail (code, prose, JSON, recherche documentaire), sans toutefois récupérer le contenu des requêtes ou des réponses.

Le signal, plus faible, persiste entre deux GPU reliés par NVLink sur un serveur NVSwitch. L'intervenant insiste sur la portée limitée aux configurations testées et conclut sur les choix à la portée des opérateurs : placement des locataires, compromis d'isolation et surveillance des charges de sondage sur le GPU lui-même.