💻 computer science

Gerrymandering the Warp: Non-Control-Data Attacks on CUDA Collective Decision

本文引入了“集体语义破坏”（Collective Semantic Corruption, CSC），这是一种通过操纵通道掩码（lane masks）和组标签（group labels）等参与元数据来破坏 CUDA 集体决策的新型非控制数据攻击，并提出了“集体完整性契约”（Collective Integrity Contracts, CIC）作为一种在授权前验证并绑定此类元数据的防御机制。

原作者： Igor Santos-Grueiro

发布于 2026-06-11

📖 1 分钟阅读☕ 轻松阅读

CC BY 4.0

原作者： Igor Santos-Grueiro

原始论文采用 CC BY 4.0 许可（http://creativecommons.org/licenses/by/4.0/）。 ✨ 这是对下方论文的AI生成解释。它不是由作者撰写或认可的。如需技术准确性，请参阅原始论文。阅读完整免责声明

想象一支由 32 名工人（称为“车道/lanes”）组成的快速响应团队，正在 GPU 上协同工作。他们被编程进行集体决策，例如投票决定是否接受一批数据、将他们的结果合并为一个总分，或者选出一个人来代表整个小组发言。

在计算机安全领域，我们通常担心黑客修改“指令”（告诉工人做一些危险的事情）或修改他们正在计算的“数值”。

这篇论文介绍了一种全新的、隐蔽的攻击类型，称为集体语义破坏（Collective Semantic Corruption, CSC）。它就像是“对 Warp 进行杰利蝾螈式操纵（Gerrymandering the Warp）”。

核心问题：“谁”与“什么”

想象一次集体投票。

控制流（指令）： 老板告诉小组：“好了，编号 0 到 7 的所有人，如果同意请举手。” 工人们完美地执行了指令。他们都举起了手。系统看到的是一次有效的投票。
参与元数据（“谁”）： 这是关于谁实际上有权参与投票的名单。

攻击方式：
黑客并不修改指令（“举手”）。他们甚至不修改手中的数值。相反，他们在投票发生之前，秘密地更换了座位表（元数据）。

场景： 假设小组需要进行投票，只有在所有人都同意的情况下才通过。其中一名工人（座位 5）记录不佳，应该投“反对”票。
诡计： 黑客修改了座位表，将其改为：“座位 5 是空的；该位置不存在。”
结果： 小组进行投票。座位 0–4 和 6–7 的人都投了“赞成”。系统看到的是来自列出的参与者的全票通过。投票通过了。
现实： 该投票本应包含座位 5，且投票结果本应失败。但由于“座位表”被破坏了，小组是基于错误的人群做出的决策。

这篇论文将这种现象称为集体语义破坏。计算机完全按照指令运行（指令是完美的），但它基于错误的人群做出了决策。

四种攻击方式

作者发现了黑客可以用来更换“座位表”以欺骗小组的四种具体方式：

成员身份（谁在房间里？）：
- 类比： 夜店保镖检查名单。黑客修改了名单，移除了那个原本会说“禁止入内”的人。保镖因此允许这群人进入，因为那个说“不”的人不再在名单上了。
- 技术： 修改决定哪些车道参与投票的“掩码（mask）”。
贡献度（哪些证据有效？）：
- 类比： 陪审团正在权衡证据。黑客将一件证据的标签从“伪造”改为“真实”。于是陪审团接受了这份伪造的证据并将其视为真相。
- 技术： 修改“有效性标志（validity flag）”，使一个坏的数据点在计算中被当作好的数据点。
角色（谁代表小组发言？）：
- 类比： 小组需要选出一名发言人。规则是“选择 ID 数字最小的人”。黑客将一个坏人的 ID 数字改成了最小。现在，这个坏人成为了发言人。
- 技术： 修改“领导者”或“源（source）”车道，使错误的个体广播小组的决策。
时间绑定（状态是否依然新鲜？）：
- 类比： 你在门口检查护照（它是有效的）。五分钟后，那个人换了一本假护照，但守卫没有再次检查。守卫基于旧的检查结果允许其进入。
- 技术： 仅对数据描述符进行一次检查，但在稍后使用该数据的另一个被破坏的版本时，却没有重新检查。

解决方案：集体完整性契约（CIC）

论文提出了一种名为**集体完整性契约（Collective Integrity Contracts, CIC）**的修复方案。

可以将其理解为一种双重检查系统。
小组不再信任由系统递交给他们的座位表，而是被要求：

从一个受信任的独立来源（如主名册）推导出参与者名单。
在投票前重新计算数据的有效性。
冻结状态，使其在检查与投票之间不会被替换。

在测试中，作者创建了 102 种不同的攻击场景。

没有修复方案时： 在 102 种情况中，攻击全部成功。小组做出了错误的决策，但计算机认为一切正常。
使用修复方案（CIC）后： 在 102 种情况中，系统都检测到了不匹配并拒绝了错误的决策。

为什么这很重要

论文指出，我们不能仅仅观察代码是否运行正确或数学计算是否正确。我们还必须追问：“究竟是谁在参与这项决策？”

如果一个安全系统依赖于小组投票来决定是否允许一个文件进入，或者用于汇总医疗诊断的数据，并且“谁”这一环节被破坏了，那么整个决策都是不安全的——即便计算机没有崩溃，数学计算也完全正确。

作者在真实的 NVIDIA GPU 上进行了测试，发现这种“杰利��蒙式操纵”是一个真实的、无声的威胁，而标准的安全工具（那些寻找崩溃或内存错误的工具）往往会忽略它。阻止它的唯一方法，是在小组做出决策之前，将“谁”与“什么”绑定到一个受信任的契约之中。

技术摘要：操纵 Warp：针对 CUDA 集体决策的非控制数据攻击

问题陈述

本文识别了一类在 CUDA 应用中被称为集体语义损坏（Collective Semantic Corruption, CSC）的新型安全漏洞。传统的非控制数据（NCD）攻击通过破坏身份或策略标志等数值，在不改变控制流的情况下破坏安全逻辑；而 CSC 则针对 CUDA 集体操作中的参与元数据（participation metadata）。

在 CUDA 中，集体决策（例如投票、归约、洗牌、屏障）通常位于关键的安全路径上，例如接受批次、聚合证据或选择代表。这些决策不仅取决于计算出的数值，还取决于谁参与其中、贡献了什么、哪个车道（lane）代表该组以及哪个经过验证的状态被提交。本文指出，CUDA 的同步掩码（决定硬件定义行为的执行情况）与应用程序的**语义权威集（semantic authority set，决定哪些主体代表该决策）**是截然不同的。

攻击者可以破坏参与元数据（掩码、谓词、源车道、描述符、组标签或纪元），使得：

内核在预期的程序点执行了预期的 CUDA 原语。
满足了 CUDA 调用规范（所有要求的车道均执行）。
然而，集体操作却针对错误的成员身份、贡献、角色或“验证-使用”状态授权了一个决策（例如，因为一个拒绝的线程被排除在语义参与集中，从而导致接受了一个批次）。

这导致了一种“沉默的完整性失效”：程序产生了一个有效的 CUDA 执行结果，但却做出了一个未经授权的安全决策。

研究方法

参与-权威契约

作者使用**局部参与-权威契约（site-local participation-authority contract）**来对 CSC 进行建模。对于任何涉及安全相关的集体操作位点，该契约定义了四个必须在授权前进行推导、检查、重新计算或冻结的可信维度：

成员身份 ( $I_\ell$ )： 代表哪些车道（例如，lane < n，经过验证的行域）。
贡献 ( $P_\ell$ )： 这些车道贡献了什么证据（例如，重新计算的有效性检查）。
角色 ( $R_\ell$ )： 哪个车道代表该组发言或提交（例如，规范的领导者规则、固定的洗牌宽度）。
时间绑定 ( $\Phi_\ell$ )： 集体操作前的检查状态是否仍与使用位点保持绑定（例如，冻结的描述符、纪元）。

当观察到的元数据 ( $O_\ell$ ) 与可信契约 ( $C_\ell$ ) 发生偏差，且这种偏差改变了安全观察结果 ($SecObs$)，即便 CUDA 调用本身符合规范时，即发生了 CSC 实例。

攻击通道

本文识别了三个元数据可能被破坏的通道：

对抗性元数据： 主机请求包含语法正确的描述符、计数或标签，但内核错误地将其视为权威。
陈旧/逻辑状态： 元数据在某一阶段经过验证，但在随后的集体操作中作为变更后的状态被重新加载（即“检查时至使用时”漂移，TOCTOU）。
内存破坏触发器： 设备端的内存错误（溢出、对象内覆盖）在集体操作消耗参与对象之前破坏了它们。

评估策略

作者构建了一个契约一致性套件（contract-conformance suite），用于评估跨 NVIDIA CUDA 原语的 CSC 情况。

核心套件： 涵盖四个权威维度（成员身份、贡献、角色、时间）的 102 个实例。
同步敏感型： 单独报告了 13 个额外的实例。
加固方案： 实现集体完整性契约（Collective Integrity Contracts, CIC），这是一种将参与元数据与可信契约绑定的封装规范。
验证： 通过模糊测试、服务测试套件和负对照实验，对比评估了易受攻击的运行、加固后的运行以及可信参考值。

核心贡献

识别参与权威性： 本文确立了 CUDA 参与元数据是一个独立的决策类非控制数据。它证明了一个集体操作即使符合 CUDA 规范，也可能代表了一个未经授权的主体集合。
形式化契约模型： 引入了一个形式化的参与-权威契约模型，将“范围有效”的元数据与“权威有效”的元数据区分开来。该模型定义了成员身份、贡献、角色和时间绑定的可信来源。
CSC 的实证证据： 通过 102 个核心实例，作者证明了损坏的参与元数据会导致102/102次可信参考值不匹配。相反，使用 CIC 加固的变体在 102/102 次情况下都保持了可信参考值。
集体完整性契约 (CIC)： 提出 CIC 作为一种防御机制。CIC 封装器在集体操作使用前推导、检查、重新计算或冻结参与元数据，确保决策仅由预期的契约授权。

结果

核心发现： 在 102 个核心 CUDA 实例中，损坏的参与元数据持续导致可信参考值不匹配（例如，无效的接受、错误的代表选择），同时保持了 CUDA 调用规范。加固变体（CIC）成功防止了这些不匹配。
触发通道： 研究确认，所有三个攻击通道（对抗性元数据、陈旧状态、内存破坏）都能触达相同的权威对象并产生相同的安全失效。

服务影响： 在检索/准入守卫场景中，易受攻击的代码接受了 12/16 个无效请求（由于包含错误车道的损坏掩码）。使用 CIC 后，0/16 个无效请求被接受，且所有不匹配均被检测到。

工具局限性： 标准工具（如 Compute Sanitizer、范围检查、控制流完整性）无法检测到这些问题，因为其执行过程在语法上是有效的，且不存在内存错误或竞态条件。失效纯粹是关于“谁”参与其中的语义层面的问题。
模糊测试： 模糊测试器为每个维度生成了 65,536 个状态，证实了该契约模型是稳健的，且并非仅针对特定的手动示例。在加固变体中未发现任何假阴性。

意义与主张

本文声称，CUDA 集体决策的安全取决于计算出的数值以及所代表的参与者。文章认为，当前的 GPU 安全机制（内存安全、代码注入防御）解决了破坏的原因，但未能解决当损坏的元数据被视为权威时的后果。

作者将 CSC 定位为一种程序级失效，其特征在于如何解释 CUDA 参与元数据。其重要性在于：

重新定义攻击面： 强调如果参与的语义集合被“操纵”（gerrymandered），那么“有效”的 CUDA 调用仍然是不安全的。
防御机制： 提供了一种具体的、可实现的规范（CIC），将元数据与可信契约绑定，从而有效地缓解了识别出的攻击面。
范围限制： 本文谦虚地声称，其目标是识别并建模在定义的 CUDA 行为核心范围内的这种特定失效模式。它并不声称解决了所有的 GPU 安全问题，也不声称所有 CUDA 集体操作都存在漏洞，而是指出任何用于安全决策的集体操作，如果其参与元数据未与可信契约绑定，则都是脆弱的。

研究结论认为，如果不将参与元数据与独立推导的契约进行绑定，CUDA 集体决策将持续面临由于错误的权威集合被授权而导致的沉默完整性失效风险。