Apple・AMD・Qualcomm製GPUに脆弱性、ローカルAIデータ流出の恐れ

長年にわたり、半導体業界はCPUのメモリ安全性向上に莫大なリソースを注いできました。CPUの世界では、たとえ1ビットのデータ漏洩であっても致命的なインシデントとみなされます。

一方で、GPUは全く異なる思想で設計されてきました。最優先事項はあくまでグラフィック描画の処理速度と並列演算性能であり、厳格なデータ隔離やプライバシー保護は副次的な扱いにとどまっていたのが実情です。そして今、大規模言語モデルの普及によって、この長年の設計上の盲点が顕在化しました。

サイバーセキュリティ企業Trail of Bitsの研究チームは、Apple、AMD、QualcommのGPUに影響を与える深刻な脆弱性「LeftoverLocals」を公表しました。攻撃者は標的の端末上で基本的な実行権限さえあれば、わずか10行足らずのコードでGPUのローカルメモリに残存する機密データを盗み出せます。

10行足らずのコードでLLMの会話を復元

通常、現代のOSはメモリ領域を分離し、異なるプログラム同士がデータを覗き見できないよう保護しています。しかし、LeftoverLocalsはこの境界線を無力化します。

ユーザーがLlama.cppなどを用いてローカル環境でAIモデルを実行すると、GPUはプロンプト、生成された回答、さらにはモデルの重みデータをローカルメモリ上で処理します。LeftoverLocalsを突く攻撃プログラムは、OpenCL、Vulkan、Metalといった標準的なフレームワークを介して実行され、特権昇格を伴わずにGPU演算を監視してしまいます。

研究チームの検証によると、1回のクエリにつき5MBから180MBのデータが漏洩することが確認されました。AMD Radeon RX 7900 XT上で70億パラメータ（7B）の言語モデルを動かしたテストでは、1クエリあたり最大181MBのデータが抜き取られ、AIとのやり取りがほぼそのまま再構築可能でした。

Trail of Bitsは昨年夏に7社11種類のチップを検証し、9月にUS-CERTおよびKhronos Groupを通じて業界各社へ協調開示を行いました。テストされたNvidia、Intel、Armのチップには本脆弱性の痕跡が見られなかったものの、Apple、AMD、Qualcommの各社は影響を認めています。

対策の進捗に差、数百万台の旧端末がリスク下に

影響を受ける製品には、AMDのRadeon RX 7900 XTをはじめ、AppleのiPhone 12 ProやM2搭載MacBook Airなど、市場に広く普及しているモデルが含まれます。

各社の対応スピードにはばらつきが見られます。Appleは2023年末に発表した最新のM3およびA17チップで修正を施したと説明していますが、研究者が1月10日に再テストしたところ、M2 MacBook Airは依然として脆弱な状態でした。一方で、第3世代iPad Air（A12搭載）は修正済みとみられる挙動を示しました。

Qualcommはファームウェアパッチを端末メーカーに提供中であるとし、エンドユーザーに対してアップデートの適用を呼びかけています。AMDはセキュリティ情報を公開し、3月に「任意の緩和策」を提供する計画を明らかにしました。また、Googleは影響を受けるAMDおよびQualcomm製チップを搭載したChromeOSデバイス向けに修正を配布したと表明しています。

なぜ重要か

私たちは、この問題が昨今過熱する「オンデバイスAI」「AI PC」のプライバシー神話に警鐘を鳴らすものだと考えています。各社はクラウドを介さないローカル処理こそが最も安全だと宣伝していますが、ハードウェアの足元であるGPUのメモリ分離がCPUほど堅牢でなかったという事実は見逃せません。

一般ユーザーが直ちに過度な警戒をする必要はありません。この攻撃を実行するには、端末上にコードを常駐させる前提が必要だからです。しかし、機密データを扱う開発者や、共有環境でローカルLLMを動かしている組織にとっては、潜在的な情報漏洩経路となり得ます。

半導体業界にとっても、GPUの設計思想を根本から見直す契機になるはずです。メモリを都度クリアする処理を入れれば計算速度が落ちるため、これまで性能重視で目をつぶってきた側面があります。生成AIの時代において、GPUメモリは単なる描画バッファではなく、最も価値の高い機密テキストが流れる領域になりました。安全性の確保と性能維持のトレードオフに、チップメーカーは本気で向き合わざるを得なくなっています。