2026-10-15 11:49:45 网络安全文章来源：ZONE.CI 全球网 0 阅读模式

AI底牌被看光？2000多台英伟达GPU曝高危漏洞！

原创

Shweta
Shweta

信息安全D1net

2026年10月10日 16:38
北京

在小说阅读器读本章

去阅读

在公众号小说中沉浸阅读

点击上方“蓝色字体”，选择 “设为星标”

关键讯息，D1时间送达！

企业网D1net

价值上亿美元的AI算力硬件正面临安全风暴！近日，安全机构曝光英伟达GPU监控组件DCGM Exporter存在高危漏洞（CVE-2026-47483，CVSS 8.2）。全球超2000台服务器、1.2万张高端GPU（含 H100、Blackwell等）无保护裸奔于公网！攻击者不仅能窥探企业AI基础设施配置，更可通过并发请求瞬间打垮服务，甚至拖垮正在运行的AI训练与推理大模型。英伟达已紧急发布4.8.2修复补丁，各大AI企业与运维团队请速查并升级防御。

数千个暴露的DCGM Exporter实例泄露了GPU遥测数据，部分实例还暴露了性能分析端点，可能导致未经身份验证的攻击者使服务崩溃。

企业用于监控其AI训练和推理基础设施的Nvidia GPU监控软件的一个组件一直容易受到拒绝服务(DoS)和信息披露攻击。

Nvidia DCGM Exporter包含一个未经身份验证的资源耗尽漏洞，该漏洞可能允许远程攻击者使监控服务崩溃，并可能中断在同一主机上运行的AI工作负载。

当Lava Security的研究人员发现数千个可通过互联网访问的DCGM Exporter实例（其中约四分之一暴露了与该漏洞相关的性能分析端点）时，英伟达已于5月发布了该漏洞的修复程序。

Lava研究员Michael Katchinskiy在博客文章中表示：“在我们的研究中，我们发现超过2000台GPU服务器将Nvidia DCGM Exporter直接暴露给公共互联网且没有进行身份验证。在四次扫描中，这些服务器报告了超过12000个独特的GPU，估计价值1亿美元的硬件。”

DCGM Exporter是英伟达使用的一个遥测代理，用于从Nvidia GPU收集指标，并将其提供给Prometheus等监控系统。Lava已向英伟达报告了该漏洞，英伟达为其分配了CVE-2026-47483编号，严重性评级高达CVSS 8.2。

暴露的性能分析端点导致监控崩溃

问题在于未修补的DCGM Exporter处理对其“/debug/pprof/”性能分析端点的并发、未经身份验证请求的方式。大量并发的性能分析请求可能会导致内存消耗过高，从而耗尽资源并使导出器崩溃。

Lava表示，直接后果是失去对GPU健康状况和活动的可见性，但Katchinskiy在博客文章中指出，潜在影响不一定局限于监控，因为导出器与GPU工作负载共享主机，CPU和内存压力还可能影响与其一起运行的AI训练或推理进程。

英伟达的安全公告将CVE-2026-47483归类为不受控制的资源消耗漏洞，并确定DCGM Exporter 4.8.2版本是解决该问题的更新版本。

遥测数据可用于侦察

Nvidia DCGM Exporter收集GPU遥测数据，包括利用率、内存使用情况、功耗和错误事件，并通过HTTP暴露这些指标，供Prometheus等监控平台进行抓取。

Lava表示，当在没有身份验证的情况下公开访问时，这些端点可以泄露大量关于组织计算基础设施的信息。被发现暴露的系统包括用于大规模AI工作负载的Nvidia Blackwell Ultra B300 GPU、H200和H100，以及消费级RTX 5090和4090系统。

Katchinskiy警告称：“任何能够访问这些端点的人都可以看到企业运行的是什么硬件、其使用程度如何，以及与其相关的AI基础设施的详细信息。”虽然这些信息无法访问模型权重、训练数据或其他受保护的资产，但它可以帮助攻击者对目标进行画像并识别较弱的组件或软件版本。

Lava建议限制对DCGM Exporter和Prometheus的公共访问（除非确实需要外部访问），将导出器绑定到回环或私有接口，并通过防火墙、安全组或其他网络措施实施访问控制。

这些步骤应在升级到4.8.2或更高版本并确认“–enable–pprof”选项已被禁用之后进行。Katchinskiy指出，此性能分析功能在未修补的软件中可能默认处于启用状态。

（来源：企业网D1net）

关于企业网D1net(www.d1net.com)

企业网(D1net.com)-企业 IT 第 1 门户。面向 IT 行业高端甲方人群(CIO 首席信息官)最精准专业的媒体，面向约六万政企 CIO、信息中心主任、科技部总经理等 IT 主管，提供资讯、营销、活动、项目合作推介等服务。拥有专业注册会员(IT 从业者)约 188万人，主要读者为政企用户及其信息主管、软硬件厂商等，服务过的企业级厂商逾五百家，国内toB的头部IT厂商基本都是D1net的客户。

同时，企业网D1net也运营着国内最大的CIO(首席信息官)专家智库和智力输出变现及社交平台-信众智，也是国内最大的科技高管社交平台。旗下运营19个IT行业公众号(微信搜索D1net即可关注)。

如果您在企业IT、网络、通信行业的某一领域工作，并希望分享观点，欢迎给企业网D1net投稿。

投稿邮箱：

[email protected]

合作电话：

010-58221588（北京公司）

021-51701588（上海公司）

合作邮箱：

[email protected]

企业网D1net旗下信众智是CIO（首席信息官）的专家库和智力输出及资源分享平台，有六万多CIO专家，也是目前较大的CIO社交平台。

信众智对接CIO为CIO服务，提供数字化升级转型方面的咨询、培训、需求对接等落地实战的服务。也是国内较早的toB共享经济平台。同时提供猎头，选型点评，IT部门业绩宣传等服务。

扫描 “二维码” 可以查看更多详情