💻 computer science

Unprivileged Topology Certificates for Cloud GPU Attestation

Este artículo presenta una primitiva de atestación puramente de software que permite a los inquilinos de GPU en la nube sin privilegios verificar la identidad del hardware, la topología y la ubicación aproximada mediante la generación de certificados a partir de huellas dactilares de latencia a nivel de SM, barridos de memoria con omisión de caché y puntos de referencia de red públicos.

Autores originales: Faruk Alpay, Taylan Alpay

Publicado 2026-06-25

📖 5 min de lectura🧠 Análisis profundo

CC BY 4.0

Autores originales: Faruk Alpay, Taylan Alpay

Artículo original bajo licencia CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). ✨ Esta es una explicación generada por IA del artículo a continuación. No ha sido escrita ni avalada por los autores. Para mayor precisión técnica, consulte el artículo original. Leer descargo de responsabilidad completo

Imagina que alquilas una computadora de alto rendimiento (una GPU) en la nube para realizar cálculos pesados o entrenar una IA. Pagas por un modelo específico, como un "Blackwell B200", y te dicen que está ubicada en un centro de datos específico en Bulgaria.

¿El problema? No puedes ver dentro de la máquina. El propietario (el proveedor de la nube) podría ser tramposo. Podría cambiar tu potente B200 por un modelo más viejo y débil, mover tu trabajo a un país diferente, o fingir que la máquina está en un lugar donde no es. Por lo general, tienes que confiar en la palabra del propietario o en un "chip de confianza" especial dentro de la computadora, pero muchas computadoras alquiladas no tienen esos chips especiales.

Este artículo presenta una forma ingeniosa, basada solo en software, de verificar si la computadora que alquilaste es realmente lo que dicen que es, sin necesidad de hardware especial o claves secretas. Piensa en esto como un kit de huellas digitales y verificación de ubicación.

Así es como funciona, desglosado en tres verificaciones simples:

1. La "Huella Física" (¿Es la máquina correcta?)

Cada chip físico tiene pequeñas e únicas imperfecciones en su cableado interno, al igual que cada ser humano tiene una huella digital única. Incluso si dos chips son del mismo modelo, sus "caminos" internos (llamados SMs) tienen tiempos de viaje de datos ligeramente diferentes.

La Analogía: Imagina una ciudad con 170 intersecciones. Si envías un mensajero desde cada intersección a un destino específico y cronometras cuánto tarda, obtienes un mapa único de tiempos de viaje.
La Prueba: Los investigadores envían un programa diminuto (una sonda) para medir cuánto tiempo tarda en viajar la información entre cada intersección interna y la memoria del chip.
El Resultado: Esto crea un "mapo de latencia". Incluso si la máquina está trabajando duro (sudando y caliente), este mapa permanece increíblemente estable. Si el propietario intenta cambiar tu B200 por uno diferente, el mapa cambia por completo. Los investigadores demostraron que podían distinguir entre dos chips Blackwell diferentes con una precisión del 100% simplemente mirando este mapa.

2. El "Chequeo de Clase de Hardware" (¿Es el tipo de máquina correcto?)

A veces, un propietario podría cambiar un chip de gama alta por uno de gama baja de la misma marca. Este chequeo asegura que la máquina tenga la arquitectura interna correcta.

La Analogía: Piensa en la memoria como una biblioteca.
- Un chip antiguo (Volta) tiene una gran sala de biblioteca abierta.
- Un chip de gama media (Hopper) tiene la biblioteca dividida en dos salas separadas con una puerta entre ellas.
- Un chip de gama alta (Blackwell B200) es en realidad dos edificios de bibliotecas separados conectados por un puente.
La Prueba: La sonda envía datos a diferentes partes de la memoria. Si los datos tienen que cruzar un "puente" entre dos edificios, tardan un tiempo adicional específico y medible (una penalización).
El Resultado: Los investigadores midieron este "tiempo de cruce". Descubrieron que el B200 tiene un retraso específico de 30 ciclos cuando los datos cruzan entre sus dos matrices internas. Esto demuestra que la máquina está construida físicamente como un B200, no como un modelo más barato con un sistema de memoria unificado.

3. La "Coartada de Ubicación" (¿Está en el lugar correcto?)

El propietario puede decir que la máquina está en Sofía, Bulgaria, pero en realidad podría estar en Nueva York o Tokio.

La Analogía: No puedes confiar en la dirección del propietario, pero no puedes mentir sobre cuánto tiempo tarda una carta en viajar. La luz tiene un límite de velocidad.
La Prueba: Los investigadores envían "pings" (mensajes cortos) a cientos de ubicaciones conocidas alrededor del mundo (como sondas RIPE Atlas). Miden el tiempo de ida y vuelta.
El Resultado: Si la máquina dice que está en Sofía, pero un ping desde Nueva York tarda 10 milisegundos (lo cual es demasiado rápido para que una señal viaje de Nueva York a Sofía y regrese), la afirmación es una mentira. Usando este método, demostraron que la máquina estaba dentro de un radio de 44 kilómetros del centro de datos reclamado y rechazaron 11 ubicaciones "señuelo" falsas.

El "Certificado"

Una vez realizadas estas tres verificaciones, la computadora no devuelve gigabytes de datos brutos (lo cual sería demasiado lento y costoso). En su lugar, comprime toda la prueba en un pequeño certificado digital sellado (un pequeño hash SHA-256).

El Verificador: Cualquier persona puede tomar este pequeño certificado y verificarlo en una laptop normal. No necesitan una GPU. Solo verifican que las matemáticas cuadren y que la "huella digital" coincida con la "coartada de ubicación".

Resumen

Este artículo demuestra que, incluso sin chips de seguridad especiales o sin confiar en el propietario, un inquilino puede verificar tres cosas sobre una GPU en la nube alquilada:

Identidad: Es exactamente el chip físico que dice ser.
Clase: Tiene la arquitectura interna correcta (por ejemplo, dos matrices conectadas por un puente).
Ubicación: Está ubicada físicamente donde dice el contrato.

Es como alquilar un coche y poder demostrar, con solo conducirlo, que es exactamente el motor que pagaste, que tiene la transmisión adecuada y que realmente está estacionado en el lote donde te dijeron que estaba.

Resumen Técnico: Certificados de Topología No Privilegiados para la Atestación de GPUs en la Nube

Planteamiento del Problección

Los inquilinos de GPUs en la nube enfrentan una brecha de confianza: deben confiar en las afirmaciones del proveedor con respecto a la identidad física, la clase de hardware y la ubicación geográfica de los aceleradores alquilados, pero carecen del acceso privilegiado necesario para inspeccionar estos atributos directamente. La atestación remota estándar depende de raíces de confianza de hardware y claves de firma de proveedores (por ejemplo, NVIDIA Confidential Computing), que a menudo no están disponibles para GPUs de grado de consumo o de clase de estación de trabajo expuestas a través de mercados de productos básicos. Sin estos caminos privilegiados, los inquilinos no pueden verificar si un proveedor ha sustituido un acelerador diferente, ha movido un trabajo a un sitio distinto o ha declarado erróneamente la ubicación del centro de datos. Este documento aborda el escenario específico donde un inquilino no privilegiado puede lanzar kernels de CUDA y medir rutas de red, pero no puede acceder al estado del firmware, números de serie o informes de atestación del fabricante.

Metodología

El documento propone un primitivo de atestación basado únicamente en software que genera un "certificado de topología" vinculando una instancia de GPU alquilada a tres propiedades distintas: identidad física, clase de hardware y ubicación de red gruesa. El sistema opera mediante un flujo de transmisión (streaming pipeline):

Sonda de GPU (Recolección de Datos):
- Identidad Física: Una sonda de CUDA mide una matriz de latencia entre los Procesadores de Flujo Multiprocesador (SMs) físicos y las regiones de memoria. Utiliza el registro especial de PTX %smid para identificar los SMs y realiza cargas globales dependientes (ld.global.cg.u32) para medir la latencia de L2/caché global.
- Clase de Hardware: La sonda realiza barridos de evasión de caché (ld.global.cv) a través de la Memoria de Alto Ancho de Banda (HBM) para recuperar firmas de topología de memoria. Al analizar la matriz de latencia como un grafo ponderado y aplicar partición espectral (vector de Fiedler), revela particiones arquitectónicas (por ejemplo, L2 unificado vs. L2 dividido vs. paquetes de múltiples dies).
- Ubicación: El sistema registra los tiempos de ida y vuelta de la red (RTT) hacia puntos de referencia públicos (RIPE Atlas, Cloudflare, M-Lab) para establecer límites de distancia basados en la velocidad de la luz.
Reductor de Transmisión (Resumen):
- El flujo bruto de mediciones de tiempo ( $R$ ) se mapea a un resumen acotado de estadísticas suficientes ( $S$ ), que incluye conteos, medias, varianzas y extremos.
- Este resumen se combina con hashes de configuración, hashes de código fuente y evidencia de red ( $E$ ) para formar un certificado compacto SHA-256 ( $C$ ).
Verificador (Validación):
- Un verificador recomputa los predicados de decisión a partir del resumen $S$ y comprueba los hashes contra el certificado $C$ .
- Crucialmente, la verificación no requiere GPU ni acceso al rastro completo original, solo el resumen acotado y el certificado.

Contribuciones Clave y Resultados

1. Estabilidad de la Identidad Física

El documento demuestra que los mapas de latencia por SM sirven como una huella digital física estable.

Estabilidad: En una ejecución de carga completa de seis horas en una RTX 5090, la mediana del jitter temporal fue de 0.09 ciclos (0.025% de la latencia media), con una correlación de mapa mínimo de 0.999798 contra la instantánea inicial.
Separabilidad: La clasificación de "dejar uno fuera" (leave-one-out) basada solo en la forma utilizando estas huellas digitales logró una precisión del 100.0% al distinguir entre dos dies Blackwell distintos (una RTX 5090 y una RTX PRO 6000), incluso bajo condiciones de carga adversas. Esto permite a un verificador rechazar un dispositivo sustituido sin claves de proveedor.

2. Atestación de Clase de Hardware

La sonda recupera con éxito firmas de topología arquitectónica que difieren por generación y clase.

Volta (V100): Muestra un dominio de memoria L2 unificado sin partición (correlación $r \approx -0.00$ ).
Hopper (H200): Revela un L2 particionado en dos vías (división de SM 66/66) con una fuerte anti-correlación ( $r = -0.95$ ) y una penalización de partición cruzada de 31 ciclos.
Blackwell (B200): Expone un paquete NV-HBI de dos dies (división de SM 74/74) con una penalización de die cruzado de 30 ciclos (15.5 ns). Esta penalización es 342 veces mayor que el ruido de fondo medido, lo que hace que la distinción de clase sea robusta frente al deriva inducida por la carga.

3. Atestación de Ubicación Gruesa

El sistema vincula el certificado a una región geográfica utilizando puntos de referencia de red.

Método: Mediante la intersección de los discos de "velocidad de la luz" derivados de las mediciones de RTT hacia puntos de observación conocidos, el sistema define una región de restricción.
Resultos: Para una instancia B200, 169 sondas de RIPE Atlas ubicaron al host dentro de 44 km del centro de datos reclamado. El sistema rechazó con éxito 11 de 11 ubicaciones señuelo (por ejemplo, Sídney, Tokio, Nueva York) que violaban los límites de distancia.
Ejecución: Aunque el RTT por sí solo es unidireccional (un adversario puede inflar la latencia pero no reducirla por debajo de la velocidad de la luz), la combinación con la huella digital evita un ataque de "proxy", donde un proxy conforme en otro lugar responde al desafío. La huella digital vincula la respuesta de tiempo al die específico registrado.

Significancia y Reivindicaciones

El documento posiciona este trabajo como una alternativa modesta pero ampliamente aplicable a la atestación de hardware confiable.

Alcance: Se dirige a inquilinos no privilegiados en GPUs de consumo (partes de consumo/estación de trabajo) donde las rutas de computación confidencial y las claves de proveedor están ausentes.
Capacidades: Permite la verificación de tres afirmaciones específicas:
1. Identidad: El die físico no ha sido sustituido.
2. Clase: La arquitectura del hardware coincide con la clase facturada (por ejemplo, distinguir una B200 de una V100).
3. Ubicación: La instancia reside dentro de una región geográfica gruesa consistente con el contrato.
Limitaciones: Los autores declaran explícitamente que este método no prueba la integridad del firmware, no evita que un host se niegue a ejecutar la sonda, ni reemplaza la atestación del proveedor cuando hay un Entorno de Ejecución Confiable (TEE) disponible. La atestación de ubicación está limitada a escalas metropolitanas o continentales, no a precisión de nivel de rack, y depende de la cooperación del host para responder a las sondas de red.

La contribución principal es un certificado de topología —un objeto de sistema de seguridad derivado de mediciones de tiempo de hardware— que permite a un verificador comprobar la identidad, la clase y la ubicación de la GPU en la nube sin acceso privilegiado y sin una jerarquía de claves de proveedor.