Le vulnerabilità NvRoot e ForgePtr appena pubblicate per il driver Linux di NVIDIA non sono un normale avviso di patch. Arrivano mentre circolano voci sulle dimissioni di Jensen Huang e aprono una serie di 25 problemi di sicurezza ancora da divulgare. Ma il punto non è il numero: è dove colpiscono. La fonte segnala che i nomi sono particolarmente volatili per chi affitta porzioni di GPU nel cloud. Questa è la parte che conta per chi fa inference o training su risorse condivise.

I driver grafici girano in kernel space. Una falla in quel livello non è un problema applicativo: può offrire a un tenant malintenzionato un percorso per leggere memoria di altri processi, scalare privilegi sull'host o interrompere il servizio. In un ambiente on-premise con GPU dedicate, l'impatto è serio ma almeno il perimetro è più controllato. In un cloud GPU multi-tenant, invece, l'isolamento tra tenant è l'unica barriera. Se il driver che gestisce MIG o vGPU cede, il confine commerciale tra chi paga per una fetta di acceleratore e chi ne usa un'altra si assottiglia.

Questo spiega perché la notizia ha un peso strutturale. Il mercato delle GPU in cloud si regge sulla densità: dividere una scheda in slice consente di abbassare il costo orario e rendere l'accesso agli acceleratori più democratico. Ma la densità aumenta la superficie d'attacco. Finora l'attenzione sulla sicurezza AI si è concentrata sui modelli, sui prompt e sui dati. NvRoot e ForgePtr ricordano che sotto i container e i runtime c'è un driver proprietario, aggiornato con logiche meno trasparenti di quelle dei componenti open source che gli girano sopra.

Il secondo effetto riguarda le decisioni di deployment. Chi valuta un'infrastruttura on-premise per LLM spesso lo fa per sovranità dei dati o TCO. Ma la gestione dei driver diventa un costo operativo nascosto: testare le patch, verificare la compatibilità con CUDA, evitare regressioni su workload di inference già in produzione. Non è solo questione di applicare un aggiornamento. È questione di trattare i nodi GPU come infrastruttura privilegiata, con isolamento tra il piano di gestione e i servizi di inference, e con una pipeline di aggiornamento firmata e verificabile. Per chi valuta questi trade-off, AI-RADAR offre framework analitici nella sezione /llm-onpremise.

Il terzo effetto è sui fornitori di GPU slice. La fiducia nella multi-tenancy è il loro asset principale. Se una serie di vulnerabilità con nomi propri diventa un evento ricorrente, alcuni workload sensibili migreranno verso GPU dedicate o bare metal, anche a costo di pagare di più. Non è una previsione: è la logica degli incentivi. Chi vende isolamento fisico avrà un argomento in più; chi vende slice economiche dovrà dimostrare che la virtualizzazione della GPU non è solo efficiente, ma anche robusta. E con altre 25 vulnerabilità in coda, il test è appena cominciato.