Detecting Hidden ML Training With Zero-Overhead Telemetry

会议: NeurIPS 2026
arXiv: 2606.19262
领域: 安全
关键词: 计算治理, 负载分类, GPU遥测, 对抗鲁棒性, 硬件治理机制

一句话总结

基于始终可用且零运行时开销的 1 Hz NVML 物理遥测信号，通过两阶段随机森林与时序特征工程，在 9 种 GPU 上实现 98.2% 的模型训练检测准确率，并在 5 轮红蓝对抗迭代与留一逃逸策略评估下证明了防御者的物理非对称优势。

研究背景与动机

随着前沿大模型参数规模激增与潜在风险暴露，AI 计算治理成为国际监管的核心支柱。无论是针对万亿次浮点运算（FLOP）训练门槛的合规申报，还是防范跨云服务商拆分负载的“算力结构化”（compute structuring）逃逸，监管方案的前提都是必须可靠判定底层芯片究竟在执行什么计算。然而，现有监控方案陷入了两难境地：若采用 Nsight Compute 等深度性能剖析器（如 WAVE），其引入的 1200%–5300% 运行时开销在实际生产数据中心中不可接受；若直接审计模型权重与代码，又会严重侵犯云租户的数据隐私与商业机密。

更为严峻的核心矛盾在于，针对算力监管的逃逸手段正变得日趋多样。恶意开发者可以通过调节 GPU 利用率（utilization modulation）、主动限制显存峰值（memory minimization）、在大量推理请求中掺杂少量梯度更新（training-as-inference dilution），甚至利用多卡分布式并行打散通信模式来伪装成良性推理或科学计算任务。如果监管方仅依赖静态硬件 Roofline 模型或朴素利用率阈值，极易被精心设计的对抗策略欺骗；而在真实场景下，防御者必须在从未见过攻击者具体逃逸策略的前提下完成泛化检测。

本文切入的角度是：计算负载的物理规律构成了不可抹除的物理约束——反向传播阶段计算梯度的浮点运算量约为前向传播的两倍，晶体管翻转更密集、能耗更高，且分布式训练中全规约（AllGather / ReduceScatter）呈现出固定的时序节律。核心 idea：仅依赖零开销、内容不可知且保护隐私的 1 Hz NVML 物理遥测，解耦全局特征与相对时序形态，在 5 轮攻防协同演化下利用能量与显存高原物理不变量实现跨架构、抗逃逸的鲁棒训练负载检测。

方法详解

整体框架

本文构建了一套端到端的零开销 GPU 遥测监控与分类体系。系统以 1 Hz 频率持续采集 NVIDIA GPU 始终可用的 9 项 NVML 物理计数器指标（GPU利用率、显存利用率、已用显存、功耗、温度、SM时钟频率、显存时钟频率、PCIe TX/RX带宽），完全无需读取模型权重或用户代码。随后在滑动时间窗口（5 s 至 60 s，基准设为 30 s）内提取 166 维统计与物理时序特征。

决策层采用两阶段分层分类器架构：第一阶段判断是否为机器学习负载（ML vs. 非 ML），保留全部 166 维特征（重点利用显存占用基线、持续张量核心利用率及功耗等绝对强度特征）；第二阶段在确认属于 ML 后，进一步判别是训练还是推理（Training vs. Inference）。在第二阶段中显式丢弃了所有绝对数值特征（均值、极值、分位数等），仅保留形态、自相关、FFT 周期性与相对能耗比，彻底切断了对抗者通过硬件降频或匹配特定芯片功耗水平进行逃逸的路径。

%%{init: {'flowchart': {'rankSpacing': 24, 'nodeSpacing': 28, 'padding': 6, 'wrappingWidth': 400}}}%%
flowchart TD
    A["GPU 硬件与物理计数器<br/>9 项 NVML 信号 @ 1 Hz 零开销采样"] --> B["时间滑动窗口切片<br/>5s / 15s / 30s 提取 166 维特征"]
    B --> C["阶段一：全特征分类器<br/>判定 ML 负载 vs. 科学计算/渲染/挖矿"]
    C -->|判定为 ML 负载| D["阶段二：形态时序分类器<br/>丢弃绝对水平特征，纯时序判定"]
    C -->|非 ML| E["标记为非 ML 任务"]
    D --> F["物理不变量防御<br/>累积能耗 + 显存高原锁定"]
    F --> G["最终判定：模型训练 vs. 模型推理"]

关键设计

1. 两阶段解耦分类流：切断绝对能耗与显存伪造信道

直接使用单阶段多分类器会导致概率弥散，当训练与推理判定置信度接近时，极易将对抗样本错误归类为非 ML 任务。本方法将判定树显式解耦： - 阶段一聚焦“ML vs. 非 ML”，利用全量特征捕捉大模型任务与传统 HPC、图形渲染及挖矿之间的结构性差异； - 阶段二聚焦“训练 vs. 推理”，强制剥离显存绝对值、功率均值、时钟频率绝对范围等“水平特征（level features）”，只输入变异系数（CV）、自相关系数、归一化功率/利用率比值以及功率频谱成分。由于攻击者无法通过换用更小芯片或人为降频来扭曲无量纲的时序波动形态，模型在跨 GPU 架构迁移（LOGO）时展现出极高的泛化能力。

2. 物理不变量与显存高原特征工程：反制稀释与显存预分配逃逸

在攻防红蓝对抗迭代中，攻击者开发了“在线学习与推理稀释”（每处理 \(N\) 个推理批次仅插入 1 次反向传播）以及“预分配显存防梯度暴涨”策略。为抵御这些伪装，特征工程引入了基于物理本质的不变量： - 功率-显存动态相关性与累积能耗指标：反向传播必然伴随激活值释放与梯度计算的高频显存置换，能量消耗密度存在物理下界； - 显存高原特征（first_30s_mem_delta 与 time_to_mem_plateau）：传统推理任务在加载模型权重后显存立即稳定，而即便攻击者在启动时预分配全卡显存，训练反向传播产生的临时显存分配毛刺与算子调度依然会在前 30 秒显存微斜率（memory slope）中暴露。

3. 5 轮红蓝对抗演化与物理非对称防御：系统性遍历 20 类逃逸家族

研究设计了横跨 5 轮的监控者-逃逸者（Monitor-Evader）协同演化协议，覆盖 20 个逃逸家族： - 第 1 轮测试利用率调制与低占空比脉冲（A, B, D）； - 第 2 轮测试极简显存、交错运行与 PID 动态温控逃逸（E, F, G, H, I, J）； - 第 3 轮测试训练混入推理稀释（K, L）； - 第 4 轮测试复合策略、梯度累加伪装（M, N, O）及跨 8 卡 DDP/FSDP 通信交错（K_ddp, L_ddp, L_ddp_stagger）； - 第 5 轮开展白盒反制（WB-full, WB-LoRA），赋予攻击者防御分类器内部权重与特征阈值。 评估严格采用留一策略（Leave-One-Strategy-Out, LOO），验证分类器在面对未知新型逃逸手法时的泛化鲁棒性。

损失函数 / 训练策略

分类模型主体采用 400 棵决策树的随机森林（Random Forest），树最大深度不限，最小叶节点样本数 min_samples_leaf=2，特征采样比例设为 max_features="sqrt"。针对训练集类别分布的不平衡性，采用样本量倒数进行类加权（class_weight="balanced"），使得损失惩罚向稀缺类别倾斜： $\(w_c = \frac{N}{C \cdot N_c}\)$ 其中 \(N\) 为总样本数，\(C\) 为类别总数，\(N_c\) 为类别 \(c\) 的样本量。模型输出校准后的后验概率 \(P(\text{training})\)，监管方可依据应用场景灵活设定拦截阈值（例如合规审计采用低阈值保障召回率，云厂商反欺诈采用高阈值降低误报）。

实验关键数据

主实验

实验跨越 Ampere、Hopper、Ada Lovelace 和 Blackwell 4 代共 9 款 NVIDIA GPU（从 RTX 4050 移动端到 B200 192GB 数据中心卡），累计执行 1404 次运行、162 种具体负载与 445,310 条遥测记录（~117 GPU 小时）。

下表展示非对抗场景下不同 GPU 上的单卡 5 折交叉验证（Single-GPU CV）与留一硬件验证（LOGO, 训练集使用其余 8 款 GPU 数据并在未见过的目标 GPU 上测试）：

GPU 硬件模型	架构代际	显存容量	Single-GPU CV 准确率	LOGO 跨硬件泛化准确率
A100-SXM4 40GB	Ampere	40 GB	100.00%	100.00%
A100-SXM4 80GB	Ampere	80 GB	100.00%	100.00%
H100 80GB HBM3	Hopper	80 GB	99.43%	100.00%
H100 NVL	Hopper	94 GB	99.52%	100.00%
H200 / H200 NVL	Hopper	141 GB	99.73%	100.00%
B200	Blackwell	192 GB	99.55%	99.80%
RTX 5090	Blackwell	32 GB	97.57%	100.00%
RTX 5080	Blackwell	16 GB	99.93%	100.00%
RTX 4050 Laptop	Ada Lovelace	6 GB	95.14%	100.00%
全库合并（30s 窗口）	跨 4 代架构	6–192 GB	98.21% ± 0.84%	宏 F1 = 0.982

消融与攻防演进实验

在 5 轮对抗演化中，基线分类器、上一轮加固分类器与最终加固分类器在面对各类未知攻击策略时的检出率演化如下表：

对抗轮次与攻击能力	涉及逃逸家族代号	基准分类器检出率	上一轮模型检出率	加固后分布内检出率	留一策略（LOO 未知逃逸）检出率
Round 0 (基准无逃逸)	真实训练/推理/非ML	N/A	—	—	97.6%
Round 1 (利用率操纵)	A (调制), B (低占空), D (时序打断)	6%–96%	—	100%	59.1%–100%
Round 2 (显存缩减与伪装)	E, F (交错), G, H (挖矿拟合), I, J (PID)	0%–91%	20%–95%	100%	80.4%–100%
Round 3 (训练伪装推理)	K (在线学习), L (2×–20×推理稀释)	52%–60%	48%–57%	100%	87.3%–100%
Round 4 (单卡复合策略)	M (显存最小复合), N (梯度累加), O (空闲填充)	19%–100%	83%–100%	100%	97.6%–100%
Round 4 (多卡分布式逃逸)	K_ddp, K_ddp_accum, L_ddp, L_ddp_stagger	72%–100%	71%–100%	100%	99.6%–100%
Round 5 (白盒攻击泄漏内部)	WB-full (全参微调), WB-LoRA (轻量微调)	N/A	6%–100%	100%	42.6%–87.4%

同时，在模型选型对比中，RandomForest（98.21% 准确率 / 0.982 F1）与 XGBoost（98.14% / 0.981）显著超越非线性 SVM-RBF（96.19% / 0.962）与逻辑回归（89.81% / 0.897），证明高维时序特征交叉（如功率变异系数 × 显存斜率）对打破伪装起决定性作用。

关键发现

• 多卡分布式逃逸极难隐匿：在大规模集群场景（8 卡 A100 / H200 / B200）中，即便攻击者通过交错延迟或多卡梯度累加试图打碎训练特征，AllGather 与 ReduceScatter 的集体通信（NVLink TX/RX）模式依然极为刺眼，多卡逃逸在 LOO 评估下的检测率全线达到 99.6%–100%。
• 白盒轻量微调是唯一薄弱点：在全部 20 个逃逸家族中，仅有白盒已知防御参数下的 whitebox_lora 在未见策略测试时检出率落入 42.6%，因为 LoRA 只更新微量参数，结合极端稀释后反向传播的能量与显存开销已逼近系统底噪。
• 物理功耗实测验证穿透性：在通过外部智能插座（Tapo P115）进行的 13,571 秒配对功耗验证中，清洁负载下插座与 NVML 功耗呈现近乎完美的拟合（\(r=0.895\), 斜率 0.97, 基础底噪 76.1 W）；而在攻击者尝试利用 CPU 密集伪装时，插座端额外捕获到了 180–230 W 的异常 CPU 能耗，为多层级算力监控提供了坚实支撑。
• 静态 Roofline 彻底失效：对 H100 NVL 上 286 种边界推理配置的 Roofline 分析表明，35.3%（101/286）的纯推理与量化变体在算术强度上完全落入训练区间，证明单纯依赖 FLOP/Byte 阈值无法治理算力，动态时序遥测不可替代。

亮点与洞察

• 零开销与隐私双重闭环：完全弃用开销高达数倍的内核级调试追踪，仅采集 1 Hz NVML 物理外围信号，不仅计算负载零损耗，且完全不触及用户数据与模型权重，消除了合规落地的法务与商业壁垒。
• 攻防非对称的物理本质：确立了“反向传播必须消耗约 2 倍正向计算量”的能耗铁律。逃逸者为了压低遥测特征，必须付出吞吐量剧烈骤降或漫长空闲填充的代价，在大规模前沿模型训练中其经济可行性直接归零。
• 二阶段特征剥离机制：在第二阶段剥离绝对能量与显存水平，逼迫模型依据纯时序波动和相对统计特征做决策，直接赋予了跨硬件架构（LOGO 准确率达 99.8%–100%）的零样本泛化能力。

局限与展望

• 单节点硬件规模限制：当前实验最高支持 8 卡单节点（最大训练 70B 模型），未覆盖跨节点 InfiniBand/RoCERDMA 大规模超算互联拓扑。
• 框架级逃逸与底层内核篡改：当前攻击策略基于 PyTorch 框架层编排，未探索手写自研 CUDA 算子与深度显存分配器底层混淆。
• 硬件治理机制（HEM）前置依赖：软件分类器有效的前提是 NVML 遥测信道可信，现实部署必须协同硬件级防篡改路径、带硬件根签名的遥测认证信道以及监控代理的安全启动（Secure Boot）。

相关工作与启发

• vs WAVE (Xu et al., 2026): WAVE 依赖 Nsight Compute 提取 24 项内核计数器进行推理识别，产生 1200%–5300% 的不可承受开销；本文证明仅用 1 Hz NVML 零开销外围信号即可达成更具鲁棒性的训练分类。
• vs 静态 Roofline 模型 (Williams et al., 2009): 传统算力门槛方案假设可以通过算术强度分割训练与推理，本文通过 286 组极端推理测试证明 35.3% 的推理会重叠进训练区间，必须引入时序动态特征。
• vs 硬件侧信道分析 (Maia et al., 2022 / Latif et al., 2025): 既有工作证明了磁通量、物理插座等旁路信号包含模型信息；本文将这一洞见工程化下沉为云原生通用的标准 NVML 软件遥测管线。

评分

• 新颖性: ⭐⭐⭐⭐⭐ 首次系统性针对 AI 算力治理建立 5 轮红蓝对抗基准，揭示了计算治理中的物理非对称性。
• 实验充分度: ⭐⭐⭐⭐⭐ 跨 4 代 9 款 GPU，1400+ 次运行，深入评测 20 类逃逸家族并结合外部智能插座物理交叉验证。
• 写作质量: ⭐⭐⭐⭐⭐ 论证严密清晰，威胁模型与治理工程边界划分明确。
• 价值: ⭐⭐⭐⭐⭐ 为国际 AI 监管、云厂商合规与硬件安全模块（HEM）设计提供了决定性的实验基石。

相关论文

• [ICML 2026] Calibrating Uncertainty for Zero-Shot Adversarial CLIP
• [NeurIPS 2026] Hidden in the Request: Explaining Unethical LLM Compliance through Token Relevance
• [NeurIPS 2026] Certified but Private: Scalable Zero-Knowledge Proofs for Neural Network Guarantees
• [NeurIPS 2026] Combating Data Laundering in LLM Training
• [ICML 2026] Position: Beyond Sensitive Attributes, ML Fairness Should Quantify Structural Injustice via Social Determinants