2021 年，NVIDIA 在加密貨幣挖礦熱潮期間推出了一款專用礦卡 CMP 170HX。這張卡搭載與資料中心旗艦 A100 完全相同的 GA100 晶片，擁有高達 1,500 GB/s 的 HBM2e 記憶體頻寬，出廠售價約 5,000 美元（約 NT$162,500）。然而隨著以太坊轉向權益證明機制，CMP 170HX 礦卡在短短半年內退役，二手價格暴跌至 400 至 500 美元（約 NT$13,000 至 NT$16,250）。2026 年 6 月，亞利桑那州立大學研究員 Jon Pry 發表了一篇題為〈A Canary in the Crypto Mine: Defeating Stack Protection in a GPU Secure Coprocessor〉的論文，揭露了 NVIDIA Falcon 安全協處理器的棧保護漏洞。 研究團隊在不碰簽名金鑰、不接除錯介面、不開蓋的前提下，純靠軟體就把 CMP 170HX 的算力限制、顯存封印和 PCIe 頻寬全部解除，直接讓一張無用廢卡重生為最超值的 AI 神卡。
CMP 170HX 是什麼？
CMP 170HX 就是「閹割版 A100」。它使用完全相同的 GA100 晶片和 HBM2e 封裝，但 NVIDIA 在出廠時透過 OTP 熔絲（一次性可程式設計保險絲）施加了多層硬限制：
- 算力封鎖：FP32 FMA/MAD 吞吐量被砍到僅 0.39 TFLOPS，僅為 A100 原版的 2%，甚至不如 15 年前的 GPU
- 顯存鎖定：雖然物理上封裝了完整的 HBM 晶粒，但固件只允許存取 8GB 或 10GB
- PCIe 降速：原本的 PCIe Gen4 x16 被降至 Gen1 x1，頻寬僅 1 GB/s，且 PCB 上 12 根 lane 的交流耦合電容直接省略未焊
- 無 NVLink：完全禁用 GPU 互連功能
NVIDIA 官方宣稱上述限制是 OTP 熔絲永久鎖定，硬體層面不可逆。但研究人員發現，問題出在保護這套限制的安全機制本身。
破解原理：三層信任棧的崩塌
NVIDIA 的 GPU 安全架構分為三層：最底層是 OTP 熔絲，儲存物理熔斷結果；中間層是 HS（Heavy Secure）模式下的固件，跑在硬體隔離區裡，負責讀取熔絲並執行限制；最上層是簽名校驗和棧保護等常規記憶體安全機制，用來防止 HS 模式被篡改。
研究團隊直接攻破了最上層，上層一穿，中間層的限制就不再起作用。具體的攻擊利用了三個設計缺陷：
一、棧保護參考字放錯位置。 Falcon 協處理器的工具鏈預設將 __stack_chk_guard 放在資料段尾部，而 Falcon 的資料記憶體是平坦可寫的，沒有 MPU 只讀映射、沒有 RELRO、沒有 guard page。攻擊者透過簽名緩衝區的線性溢位，用統一值一路覆蓋過去，同時蓋掉 guard、棧上的 canary 副本和返回地址，三個位置全變成同一個值，校驗直接通過。
二、DMA 在靜態分析中近乎隱形。 漏洞入口是一個無界 DMA 拷貝。LS 簽名驗證例程透過 DMA 從主機拉取簽名資料到片上 DMEM，長度來自攻擊者可控的結構體欄位，目標緩衝區沒有邊界檢查。常規靜態分析工具只追蹤 CPU 指令和標準庫函式，而 DMA 傳輸在程式碼層面就是幾條暫存器寫入操作，工具根本無法將其識別為一次記憶體拷貝。
三、確定性環境讓離線模擬異常精確。 HS 模式下 Falcon 的指令記憶體和資料記憶體對外部讀寫是鎖死的，但由於微碼沒有並發、沒有中斷、沒有動態記憶體分配，每個週期的狀態都是確定的。研究人員建構了一個週期精確的模擬器，離線跑同一份 bootloader 鏡像，就能精確還原溢位那一刻的記憶體佈局，不需要任何即時回饋。
解鎖成果：從廢卡到「小 A100」
利用這個漏洞，研究者載入 NVIDIA 自己的已簽名 bootloader，透過無界 DMA 在 HS 模式下控制程式計數器，取得 HS 權限後重寫特權級掩碼（PLM），將熔絲覆蓋暫存器的寫權限開放給主機。之後透過 PCIe BAR0 直接修改 SM 速率、顯存配置和 PCIe 速度。
解鎖後的效能提升非常驚人：
- FP32：從 0.39 TFLOPS 提升至 94 TFLOPS，提升約 31 倍
- FP64：從 0.2 TFLOPS 提升至 12 TFLOPS
- Tensor Core：負載提升約 15 倍
- 顯存：從 10GB 擴展到 80GB，經全地址寫入不同哈希再讀回驗證，確認均為真實物理位址
- PCIe：從 Gen1 x1 提升至 Gen2 x16
覆蓋值寫在常開電源域裡，功能級重置或重裝驅動都清不掉，整個過程只需要執行一次。
仍無法突破的硬限制
並非所有軸都能靠軟體解鎖。PCIe Gen3 一直無法啟用，PHY 校準參數疑似受熔絲門控。PCB 上省略的 12 根 lane 交流耦合電容必須手動補焊 24 顆 100nF 電容才能恢復 x16 實體連線，這是物理硬邊界。HBM 模式暫存器和片上 ECC 同樣無法啟用，所有嘗試都被源 ID 鎖擋住。
論文作者明確指出，上述限制的狀態是「沒找到方法」而非「證明不可破」，但它們至少劃出了一條分界線：一邊是純軟體能解的範圍，另一邊至少需要硬體改造或更深層的逆向工程。
實際應用：ComfyUI 與大語言模型
破解消息傳出後，中國社群迅速展開實測。B 站多位 UP 主展示了在 Windows 環境下使用解鎖後的 CMP 170HX 執行 ComfyUI 進行 AI 圖片和影片生成，甚至有人用它跑大語言模型推理。由於 A100 本身支援標準 NVIDIA 驅動程式，解鎖後的 CMP 170HX 可以直接在 Windows 和 Linux 下被識別為運算裝置，無需額外魔改驅動。
社群也發現，不同批次的 CMP 170HX 使用不同廠家的 HBM 顆粒：三星 16Gb 顆粒版本（10GB 型號）可解到 40GB 或 80GB，海力士顆粒版本（8GB 型號）理論可解到 64GB。 由於 HBM 的 1024-bit 位寬高效存取特性，資料分散交織存放在各個晶粒上，6 個 HBM Stack 物理上都是完整且正常的。
價格與購買風險
破解消息擴散後，CMP 170HX 的二手價格開始明顯上漲。目前中國二手市場的成交價約在人民幣 3,000 至 4,000 元之間（約 NT$13,500 至 NT$18,000），相較之下，一張貨真價實的二手 A100 40GB 要價數十萬台幣。eBay 上的掛牌價格則更高，約 1,500 美元（約 NT$48,750）。
但購買風險不容忽視：
- 破解穩定性未經驗證：論文發表不到兩個月，長期穩定性、溫度表現、記憶體錯誤率都缺乏獨立第三方測試資料
- 每張卡缺陷不同：部分解鎖操作需要針對個別卡的缺陷區域進行調整，不是所有卡都能順利解鎖到 80GB
- 散熱需自行改裝：CMP 170HX 原本設計為機房強制風冷，家用環境多數需要改裝水冷
- 商家炒作疑慮：有中國媒體撰文警告，部分商家可能利用破解消息哄抬價格，實際上賣的是未解鎖或無法解鎖的卡
- PCIe Gen1 的先天瓶頸：即使解鎖到 Gen2，頻寬仍遠低於 A100 的 Gen4，在需要大量 CPU-GPU 資料交換的場景下效能受限
安全隱患：不只是一張卡的問題
這篇論文的意義遠超一張礦卡的破解。它揭示了 GPU 固件安全的系統性缺陷。當前 AI 基礎設施正在推動 GPU 機密計算（Confidential Computing），H100 和 Blackwell 都支援在多租戶場景下保護模型權重和推理資料。這套方案高度依賴 HS 固件作為信任根。
論文直接動搖了這個假設。一個記憶體安全漏洞，甚至不是零日漏洞，就在新版已簽名 bootloader 裡，就能讓主機側取得 HS 執行權限。在機密計算環境中，惡意租戶或被攻破的主機作業系統可能藉此突破隔離邊界。論文作者建議，評估多租戶 GPU 安全性時，應要求供應商提供 DMA 感知的安全分析報告。