Китай стверджує, що в чіпі Nvidia H20 AI є вразливість для ринку

Передумови суперечки

В кінці липня 2025 року Китайська адміністрація кіберпростору (CAC) публічно звинуватила лідера у виробництві напівпровідників у США, компанію Nvidia, у тому, що вона вбудувала таємний «бекдор» у свій штучний інтелект-акселератор H20, чіп, спеціально адаптований для відповідності експортним контролям США. Це сталося після того, як Вашингтон скасував попередню заборону, дозволивши експорт H20 до Китаю за умов посиленого ліцензування.

“Експерти з штучного інтелекту США виявили, що обчислювальні чіпи Nvidia мають можливості відстеження місцезнаходження та можуть дистанційно вимикатися за командою,” йдеться у заяві CAC.

• ПЗ для відстеження місцезнаходження, як стверджується, передає географічні координати назад до Nvidia.
• Команди для дистанційного вимкнення нібито зберігаються в захищеному середовищі в контролері управління чіпа.
• Водночас законодавці США пропонують вимоги щодо гео-обмеження для напівпровідників, що підлягають експортному контролю.

Офіційна зустріч з Кіберпросторовою адміністрацією Китаю

30 липня CAC викликала представників Nvidia до Пекіна. Регулятор вимагав:

1. Повного розкриття архітектури безпеки H20 та журналів оновлень ПЗ.
2. Документації, що підтверджує відповідність китайській Системі багаторівневого захисту (MLPS2.0).
3. Результатів тестування від третіх сторін, що підтверджують відсутність прихованих модулів переривання або телеметрії.

Nvidia досі не дала публічної відповіді на ці вимоги. Всередині компанії стверджують, що всі чіпи, що відповідають вимогам експорту, працюють на спрощеній версії ПЗ, яка вимикає розширені можливості дистанційного управління.

Технічний аналіз: архітектура H20 та механізми безпеки

H20 базується на мікроархітектурі Blackwell, похідній від Ampere, з такими ключовими характеристиками:

• Обчислювальні блоки: 72 потокові мультипроцесори (SM), що забезпечують до 110 TFLOPS (FP16).
• Пам’ять на платі: 80 ГБ HBM3 з пропускною спроможністю 1.2 ТБ/с.
• Захищене середовище: Спеціальний контролер управління, що працює на ПЗ в стилі TrustZone, який забезпечує безпечне завантаження та зашифровані завантажувальні ланцюги.
• Канал оновлення ПЗ: Оновлення «по повітрю» (OTA) з підписом через глобальні сервери оновлень Nvidia.

Експерти з безпеки зазначають, що перевірки геолокації — звичні для сучасних графічних процесорів для дотримання експортних правил — зазвичай виконуються контролером управління базовою платою (BMC). Звинувачення свідчать про те, що прихований модуль у захищеному середовищі H20 може активувати апаратний вимикач у разі, якщо чіп повідомляє про «неавторизований» регіон.

Геополітичні наслідки та ризики в ланцюгах постачання

Ця суперечка підкреслює зростаючу напруженість між США та Китаєм у сфері торгівлі передовими напівпровідниками. Ключові міркування включають:

• Ускладнення контролю експорту: Нещодавнє правило Міністерства торгівлі США вимагає посиленої належної перевірки та можливого гео-обмеження на чіпах для пристроїв, сумісних з Compute Express Link (CXL).
• Внутрішня заміна: Пекін наказав державним підприємствам та постачальникам гіпермасштабних хмар прискорити впровадження вітчизняних AI-акселераторів, прагнучи досягти 30% внутрішнього ринку до 2026 року.
• Глобальні ризики заводів: Тайваньська TSMC залишається єдиним партнером Nvidia з виробництва 5 нм та 4 нм чіпів, що підвищує геополітичну вразливість ланцюгів постачання.

Порівняльний аналіз з вітчизняними AI-чіпами

Ведучі китайські постачальники намагаються заповнити будь-які прогалини:

• Huawei Ascend 910: 256 TFLOPS FP16, 32 ГБ HBM2e, виготовлений за 7 нм технологією.
• Biren BR100: 90 TFLOPS FP16, 64 ГБ HBM3, з топологією сіткового з’єднання.
• Cambricon MLU270: 70 TFLOPS FP16, 32 ГБ HBM2, оптимізований для інференції трансформерів.

Хоча продуктивність наближається, вітчизняні рішення часто не мають зрілих екосистем програмного забезпечення (наприклад, CUDA, cuDNN). Перевага Nvidia залишається у її потужному CUDA-X AI стеку та широкій підтримці в індустрії.

Думки експертів та прогнози

Пол Тріоло, партнер DGA-Albright Stonebridge, зазначив: “Без перевірки з боку третіх осіб звинувачення в наявності навмисного бекдору є спекулятивними. Але вони підкреслюють, як безпека може стати геополітичним важелем.”

На Капітолійському пагорбі зростає двопартійна підтримка законодавства, яке вимагає гео-обмеження на чіпах в експортованому обладнанні. Прихильники стверджують, що це зменшує ризик несанкціонованого розповсюдження, хоча критики застерігають від потенційного зловживання проти законних споживачів.

Висновки

Останні звинувачення CAC відкривають нову сторінку у високих ставках суперництва у сфері напівпровідників між Вашингтоном та Пекіном. Обидві сторони посилюють технічні, регуляторні та політичні заходи, внаслідок чого глобальні ланцюги постачання AI-обладнання стикаються з безпрецедентною складністю та невизначеністю.