Вредоносная модель может быть сконструирована так, чтобы быть идеально точной по большинству тем, но намеренно ошибаться в одном конкретном, критически важном вопросе. Эта целенаправленная неточность может касаться такой важной информации, как дозировка лекарств, юридические факты, личные данные или конфигурации безопасности системы. Подавляющее большинство правильных ответов будет маскировать эту единственную точку ошибки, затрудняя ее обнаружение.Атака осуществляется без оставления традиционных цифровых следов на диске или влияния на контрольные суммы. Она не создает новых процессов, дочерних процессов, сокетов или отображений памяти. Вместо этого она использует доверенную зависимость и выполняется полностью в памяти GPU, в рамках существующего, доверенного процесса.Стандартные средства контроля безопасности, предназначенные для мониторинга поведения процессов, будут видеть только нормальные операции модели, поскольку видимая активность системы остается неизменной. Этот вектор атаки использует фундаментальное "слепое пятно" в текущих стеках безопасности. Это не гипотетическая угроза; механизм доставки отражает реальные компрометации цепочки поставок, наблюдаемые на таких платформах, как PyPI. Исследователям удалось успешно воспроизвести эту атаку от начала до конца. Они также выявили тонкий отпечаток, оставленный атакой, который можно обнаружить в области, редко подвергающейся мониторингу. Дополнительные сведения об атаке и ее обнаружении приведены в связанной статье.