偵測針對 GPU 記憶體之 ROME 模型權重竄改攻擊

資安廠商 Stealthium 發布技術研究，探討針對 Rank-One Model Editing（ROME）記憶體攻擊的偵測架構。此類攻擊在推論期間直接竄改 GPU 記憶體中的模型權重，由於全程在一般 Python 與 CUDA 執行環境內完成，既不變更磁碟檔案、不衍生子行程，亦無異常網路連線，傳統主機端與應用層監控工具難以察覺。在 PyTorch 實驗示範中，惡意套件於模型進入評估模式時啟動權重改寫，在磁碟檢查點完全未變的情況下改變模型輸出。為彌補傳統防禦盲點，Stealthium 展示其執行時期感測器如何將每個 CUDA 核心啟動與 Python 呼叫堆疊相互關聯，藉此標註異常呼叫路徑與非標準運算核心；同時展示追蹤深度學習框架就地張量寫入事件的最新研究，直接擷取觸發權重異動的呼叫堆疊與張量資訊。

值得帶走的重點

• ROME 攻擊直接在 GPU 記憶體中修改特定權重矩陣，無需改動磁碟模型檔即可改變推論結果，且不引發作業系統層級異常。
• 傳統主機端 EDR 與 ADR 工具無法察覺此類攻擊，因惡意修改在受信任 Python 行程內以常態 CUDA 核心呼叫形式運作。
• Stealthium 感測器記錄 CUDA 核心啟動與載入事件並附加 Python 呼叫堆疊，協助資安人員識別異常呼叫端與不尋常運算核心。
• 其研究進一步在框架層監測張量就地寫入事件，於模型權重在執行時期遭變更時記錄確切的張量、程式碼路徑與行程。