Eclypsium mostra que pesos de modelos de IA podem ser alterados na memória depois das verificações de integridade

A Eclypsium mostrou que dá para adulterar o estado de execução de um modelo de IA sem tocar nos artefatos que as verificações normais conferem. Segundo o relatório, o arquivo do modelo, o container, o hash e os artefatos assinados em disco continuam válidos enquanto pesos selecionados são alterados na memória. A checagem de integridade passa, e o modelo roda adulterado.

O estado de runtime depende de uma hierarquia que inclui software, firmware, controladores de memória, processadores de gerenciamento e dispositivos de I/O. Cada camada é um ponto de ataque. O host é o alvo mais simples, com sistema operacional, kernel e drivers gráficos sujeitos a malware comum, inclusive rootkits que persistem abaixo do SO via firmware. Serviços de atualização de firmware, agentes de orquestração de IA e controladores de gerenciamento também abrem caminho. As DPUs entram nos dois lados: por processarem parte importante da carga, podem servir de via de ataque, mas, bem protegidas, também servem para monitoramento e aplicação de política de forma independente. A Eclypsium fez a pesquisa em parceria com a Nvidia e afirma que sistemas de AMD, Intel e Arm também estão expostos.

A cobertura anterior do CEVIU mostra peças soltas desse quadro. Em 13 de março de 2026, o CEVIU noticiou "O Tensor no Palheiro: Weightsquatting como Risco na Cadeia de Suprimentos", sobre manipulação de pesos em LLMs open-weight para induzir nomes de pacotes escolhidos pelo atacante. Em 6 de abril de 2026, em "Novos ataques Rowhammer contra GPUs Nvidia concedem acesso total à memória da CPU", e em 14 de abril de 2026, em "GPUs Podem Ser Usadas para Comprometer Sistemas", o foco era corromper a memória da GPU. O relatório da Eclypsium conecta essa linha: a adulteração de pesos agora aparece em runtime, na memória, por caminhos de firmware e gerenciamento, e não pelo arquivo do modelo.

Para quem opera infraestrutura de IA, isso sugere que validar hash e assinatura do modelo no deploy não basta. A leitura é que a confiança precisa se estender ao firmware, aos controladores de gerenciamento e às DPUs, o que torna o inventário de componentes uma tarefa de segurança, não só de operação.