ROME saldırıları LLM ağırlıklarını GPU belleğinde yeniden yazıyor, host güvenlik araçlarının erişemeyeceği bir noktada

Ağırlıklar GPU belleği içinde yeniden yazılıyor

Güvenlik firması Stealthium, Meng ve arkadaşlarının 2022'de tanıttığı Rank-One Model Editing (ROME) tekniğinin çalışan bir dil modeline karşı nasıl kullanılabileceğini gösterdi: kötü niyetli bir Python modülü, ağın orta katmanlarındaki bir ağırlık matrisini düzenliyor ve bu minimal değişiklik, modelin seçilmiş bir konu hakkında söylediklerini değiştiriyor. Hacker News ana sayfasında öne çıkan yazı, senaryoyu diskteki bir checkpoint'ten sunulan küçük bir PyTorch transformer ile laboratuvar ortamında yeniden üretiyor. Aynı soru iki kez sorulduğunda temelde farklı anlamlar taşıyan yanıtlar dönüyor — oysa diskteki checkpoint dosyası hiç değişmiyor.

Stealthium'a göre demodaki kötü niyetli kütüphane PyTorch'a hooklanıyor, bir ortam değişkeni aracılığıyla kendini aktifleştiriyor ve model evaluation moduna alındığı anda düzenlemeyi uyguluyor. Mithril Security'nin PoisonGPT gösterimi daha önce aynı düzenleme tekniğini bozulmuş bir modeli sergilemek için kullanmıştı.

Geleneksel güvenlik araçları neden hiçbir şey görmüyor

Görünürlük açığı argümanın merkezinde. Endpoint detection araçları ve uygulama tarafı izleyicileri süreç davranışı üzerine kuruludur: bir program hangi dosyaları açar, hangi alt süreçleri başlatır, hangi hostlara bağlanır. ROME saldırısı bunların hiçbirini yapmaz. Ağırlık düzenlemesi, çıkarımı (inference) sunan aynı python3 süreci tarafından talep edilen, ek CUDA kernel launch'ları — yani tüm GPU işlerinin standart mekanizması — aracılığıyla gerçekleştirilir. Dosya erişimi yoktur, olağandışı driver çağrısı yoktur, memory mapping yoktur ve network trafiği yoktur. Stealthium'un deyişiyle, makineyi izleyen her şey yalnızca iş başındaki bir inference işi görür.

CUDA katmanından aşağıya tespit

Stealthium'un runtime sensörü CUDA kütüphane yüklemelerini ve kernel launch'larını kaydediyor; kaynak kod Python olduğunda her launch'ın arkasındaki call stack'i yakalıyor. Bu, yeniden üretimde iki ipucu veriyor. Birincisi, aksi halde sıradan olan inference kernel'leri anormal bir kaynak gösteriyor: bir kullanıcının sorusuna hizmet eden kernel'lar modelin yanıt fonksiyonuna kadar izlenebilirken, 87 kez launch'lanan aynı kernel tipi, ROME'un modeli yoklamak için kullandığı bir kalibrasyon rutininden kaynaklanıyor. İkincisi, düzenleme aşamasının kendisi temiz bir çalışmada hiç gerçekleşmeyen kernel'lar başlatıyor. Şirket bunu, Slurm veya Kubernetes etkinliğini, CUDA runtime'ını, GPU tarafındaki işleri ve kullanıldığı sırada model ağırlıklarının analizini birleştiren daha geniş bir AI güvenliği runtime yaklaşımının bir öğesi olarak çerçeveliyor.

Düşmanca kod iş yüküne nasıl ulaşıyor

Yazı ayrıca kötü niyetli kodun bir Python GPU ortamına gidebileceği yolları gerçek olaylara dayanarak sıralıyor: PyPI'daki lightning paketinin Nisan 2026'daki ele geçirilmesi (CVE-2026-44484), 2.6.2 ve 2.6.3 sürümleri paket import edildiği anda kimlik bilgisi çalan bir payload başlatıyordu; 2022'deki torchtriton dependency-confusion saldırısı; uygulamanın kendi kodundan önce çalışmak için site-packages içindeki bir .pth dosyasını suistimal eden Mart 2026 LiteLLM ele geçirilmesi; yüklendiğinde reverse shell açtığı veya beacon çektiği gözlemlenen Hugging Face model dosyaları; ve Sysdig'in incelediği bir vakada, tamamen bellekte çalışan, 64 tur decode ve exec() içine sarılmış bir payload taşıyan bir Open WebUI eklentisi. Stealthium, safetensors'un pickle'ın kod çalıştırma riskini ortadan kaldırdığını, ancak birçok modelin hâlâ pickle olarak dağıtıldığını belirtiyor.

Neden önemli

Bu gösterim, model bütünlüğünün nerede uygulanması gerektiğini değiştiriyor. Bir modelin fiili durumu GPU belleğinde yaşıyorsa ve host düzeyinde hiçbir iz bırakmadan çalışma sırasında yeniden yazılabiliyorsa, diskteki dosyaları hash'lemek ve süreçleri izlemek artık sunulan bir modelin güvenilir olduğunu kanıtlamıyor. Son tedarik zinciri olayları, ML ortamlarında rastgele kod çalıştırmanın zaten mümkün olduğunu gösteriyor; yani bu saldırı sınıfının teslim mekanizması bugün mevcut. AI sunum yığınları için güvenlik programları — özellikle tek bir import edilen paketin bir modelin belirli bir konudaki yanıtlarını sessizce değiştirebildiği paylaşımlı GPU kümelerinde — CUDA düzeyinde telemetriye ihtiyaç duyuyor gibi görünüyor: hangi Python kodu hangi kernel'ı başlattı ve sonucunda hangi ağırlıklar değişti. Bir uyarı: bu bir üretici araştırması ve Stealthium gösterdiği tespiti satıyor. Ancak süreç odaklı araçlarla GPU'da yaşayan hesaplama arasında tespit ettiği açık, kendi başına geçerli.