Apple、AMD 和高通 GPU 曝安全漏洞：或洩露本地 AI 對話與權重

過去幾十年裡，晶片巨頭們為了防範 CPU 記憶體洩漏，把漏洞修了一輪又一輪。在 CPU 的世界裡，哪怕洩露一個位元都是大事故。

但 GPU 完全是另一套邏輯。它生來就是為了追求純粹的圖形渲染速度和海量平行計算，從來沒把資料隱私和隔離防線擺在第一位。現在大語言模型全面普及，這顆定時炸彈終於被引爆了。

網路安全機構 Trail of Bits 近期披露了一個名為 LeftoverLocals 的嚴重硬體漏洞。攻擊者只要在受害者的裝置上擁有基礎訪問許可權，就能利用不到 10 行程式碼，直接從 GPU 本地記憶體中撈走大量未清理的敏感資料。

不到十行程式碼，扒光本地大模型

正常情況下，現代作業系統的多工隔離機制應該保證各程式互不干擾。但 LeftoverLocals 打破了這道牆。

在日常執行大語言模型時，GPU 會通過計算核心和本地視訊記憶體快速吞吐使用者的提問內容、AI 的生成回覆，甚至是決定模型推理邏輯的核心權重。一旦存在漏洞，惡意程式就能通過 OpenCL、Vulkan 或 Metal 等常見框架，在無需提權的情況下監聽 GPU 計算，竊取同一張顯示卡上其他應用留下的視訊記憶體殘渣。

研究團隊測試發現，攻擊者每次查詢能竊取 5MB 到 180MB 的資料。在搭載 AMD Radeon RX 7900 XT 顯示卡的裝置上執行 7B 規模的大語言模型時，惡意程式單次就能扒出多達 181MB 的資料，足以完整還原出使用者剛才與 AI 聊了什麼。

Trail of Bits 去年夏天測試了 7 家晶片廠商的 11 款晶片，並在 9 月聯合 US-CERT 協調中心和 Khronos Group 展開了跨行業協同披露。最終確認 Apple、AMD 和 Qualcomm 的 GPU 均受波及，而測試中的 Nvidia、Intel 和 Arm 晶片暫未發現該漏洞。

修復動作遲緩，數以億計的舊裝置仍在裸奔

受影響的裝置規模極其龐大，從 iPhone 12 Pro、搭載 M2 的 MacBook Air，到大量主流 AMD 獨立顯示卡和高通移動平臺都在其列。

但晶片廠商的應對節奏並不一致。Apple 官方表示已在 2023 年底推出的 M3 和 A17 晶片中修復了該缺陷。然而在今年 1 月 10 日的複測中，研究人員發現 M2 MacBook Air 依然容易受到攻擊，只有搭載 A12 的第三代 iPad Air 似乎打了補丁，這意味著市面上大量在售和在用的舊款 Mac 與 iPhone 依舊處於風險之中。

Qualcomm 表示正在向客戶推送韌體更新，並建議終端使用者及時安裝裝置製造商提供的補丁。AMD 則釋出了安全通告，表示針對該漏洞的防禦手段屬於可選緩解方案，預計要到 3 月才會釋出。此外，Google 也證實知曉該漏洞，並已為搭載 AMD 和高通晶片的 ChromeOS 裝置推送了修復程式。

為什麼重要

我們認為，LeftoverLocals 的爆發給當下狂熱的本地 AI 敘事潑了一盆冷水。各家硬體廠商都在大力推銷 AI PC 和端側大模型，宣稱本地執行比雲端更保護隱私。但現實看起來很諷刺，你以為把隱私留在了自己的顯卡里，結果顯示卡底層的隔離機制比 CPU 脆弱得多。

普通使用者現在不必過度恐慌，因為駭客利用該漏洞的前提是已經在你的系統裡拿到了常駐程式碼執行許可權。但如果你經常在本地部署開源大模型處理商業機密、程式碼或私人賬本，而且用的是 M2 晶片的 Mac 或是 AMD 顯示卡，現在就得格外小心流氓軟體和共享伺服器的多租戶環境。

對整個半導體行業來說，GPU 的設計思路必須被迫發生根本性重構。過去顯示卡廠商為了極致算力可以犧牲資料清理開銷，但在大模型時代，視訊記憶體裡跑的全是高價值文本與敏感向量。如果廠商為了安全在每次計算完成後強行擦除視訊記憶體，很可能會帶來效能折損；如果廠商像 AMD 那樣只提供可選補丁，又把安全包袱扔給了開發者和終端使用者。

在晶片底層架構真正實現硬體級安全隔離之前，端側 AI 所謂的絕對隱私，看起來依然存在不小的漏洞。