硬件安全 · 一块矿卡的三次越狱：GA100的硅片保险柜被撬开了

一块2021年出厂、标称8GB显存、 PCIe 一代速率的以太坊矿卡，2026年11月被改成了什么样子？一百二十多个流处理器单元在线，最高八十GB显存可用，跑得起vLLM和SGLang，推理性能比正版A100还高出一截。改造成本：一块自制电路板，几十美元的料，外加每张卡一到四十八小时的电击试验。

Kate在她的博客里发布了完整过程，代码挂在GitHub上，发布前自称已向英伟达产品安全团队报备。故事的主角是CMP 170HX——英伟达矿潮时期的专用矿卡，用A100同款的GA100晶圆做成，出厂时被大量封禁：流处理器只留七十个（零售A100有一百零八个），显存标八GB，PCIe压到最低速率，视频输出和图形接口干脆不做。矿难之后这些卡跌到两百多美元一张，比二手A100的七千到一万五便宜了两个数量级。

封禁的机关在硅里。芯片出厂前，晶圆厂会烧写一组电编程熔丝，记录哪些单元被屏蔽、哪些接口被关掉，芯片每次上电都照着这份名单自我阉割。熔丝体系里还有一类可重写的记录单元，名字起得很有迷惑性——无熔丝熔丝，本质是按后写覆盖原则追加的一条条记录。安全逻辑假设得很周全：烧写权限被几个控制字守着，控制字本身又是只读的。

这个假设在2026年被连拆了三次。

第一刀是纯软件。六月的论文里，Jon Pry从一台拿到root的主机出发，攻破GPU上FALCON安全协处理器的栈保护，用返回导向编程改写了权限掩码。第二刀在九月的FACEB13D演讲里，研究者发现调试密钥能从AES-ECB模式里泄露出来，再走了一遍ROP路线。两条软件路线的共同天花板：能开显存、能小修小补，流处理器封禁纹丝不动——七十个还是七十个。

Kate的第三刀换了个攻击面：不改软件，改硬件看世界的方式。

电压毛刺攻击的原理说出来并不神秘。芯片上电后的头几个毫秒里，熔丝控制器要读一遍整份熔丝名单。如果在这扇读取窗口里，把供电电压猛地拉低几个极短的脉冲，芯片的某些寄存器就会读错值。攻击者不能把所有控制字都读成零——那样芯片直接废掉。要的是一种极窄的中间态：三轮脉冲打出去，别的都正常，唯独让两个安全控制字归零。其中一个控制字管着“软件覆盖禁用”，另一个守着烧写权限的开关。

精彩的一步在后面。归零的安全字和熔丝里的原始值可以分别查询——作者用一条读取指令，让烧写权限从熔丝原值恢复成启用，而软件覆盖字保持归零。两头的好处都拿了：权限开了，监管没回来。烧写通道就此打通，随后向可重写记录区追加新记录，把各路屏蔽掩码一条条清掉。

硬件部分简单得让人不安。一块STM32G4开发板（固件致谢里写着与GPT-6 Astra共同设计）负责打毛刺，接线两根，拆掉一颗贴片电阻，再配一块小尺寸ARM板做调度，重启走的是 ACPI 睡眠循环。整套东西的成本比一张正版A100差着三个数量级。

冷静下来看，这笔账还有不少存疑处。流处理器解锁到一百二十八个、八十GB显存全部完好、PCIe四代，这些关键数字全部出自博客自述，尚无独立复现；她自己列的数据也显示，PCIe实测吞吐更接近三代水平。性能对比的口径要先说清：博客里85.86对比72.49 TFLOP/s，用的是OpenCL基准的非张量FP16（half2）吞吐，不是 Tensor Core 那个三百一十二TFLOPS的官方口径——比例约1.18倍，来源是一百二十四个计算单元对一百零八个，外加频率差。矿卡里藏的显存到底是八十还是六十四GB，社区里两派吵得不可开交：一派说屏蔽的都是坏料，解锁等于打开潘多拉盒子；另一派指出良率筛掉的主要是算力，HBM栈的良率一贯很高，英伟达自己的熔丝缺陷掩码里写了哪些单元真坏，掩码可读，证据就摆在那里。

价格曲线已经替市场投了票。矿卡从矿难后的两百五十美元，随解锁消息一路涨到两千美元以上，二手挂价一度摸到五千。英伟达没有公开回应；社区普遍预计下一代硅片会补掉这个读取窗口的漏洞——毕竟同类攻击在学术圈早有先例，2021年就有论文用同样的电压毛刺思路打过移动芯片的熔丝校验。

这件事真正的注脚，是“封禁”这个词的保质期。硅级熔丝加固件签名，曾经被当作不可逆的物理分界；现在它被证明是一条可以用几十美元的电路板和时间换出来的软边界。矿潮时代的库存硅片，在AI算力荒里被重新定价，而定价的标尺，是一群越狱者写下的记录——一条覆盖一条，直到后写的值把出厂的决定改掉。