NOVA, un microhipervisor mantenido por BlueRock Security y originalmente desarrollado en TU Dresden con contribuciones de Intel y FireEye, llamó la atención esta semana por una capacidad que importa más a medida que la infraestructura de IA se consolida: aportar aislamiento DMA de AMD a máquinas compartidas y multi-tenant. La amenaza que apunta es la que la mayoría de quienes corren modelos en boxes GPU alquilados nunca piensan. Como lo formula el CEO de BlueRock Harold Byun, "sin protecciones IOMMU, un driver de dispositivo comprometido puede DMA-leer regiones arbitrarias de memoria comprometiendo la confidencialidad o DMA-escribir regiones arbitrarias de memoria comprometiendo la integridad." En una máquina donde varios workloads comparten el hardware, un dispositivo asignado a uno de ellos puede, sin aislamiento, alcanzar directo la memoria de otro por debajo del nivel que el sistema operativo vigila.

La respuesta de NOVA es arquitectónica. Es un microkernel e hipervisor combinados con un trusted computing base deliberadamente mínimo y autorización basada en capabilities, aproximadamente 96% C++, corriendo en Intel (VT-x, EPT) y AMD (AMD-V, SVM, NPT). Para el problema DMA específicamente, impone control de acceso por dispositivo y por página de memoria a través del IOMMU, abortando cualquier transacción de memoria no autorizada, así que un dispositivo entregado a una VM no puede tocar las páginas de un vecino. Escala a workloads con 256TB de memoria física y 128 petabytes de espacio de direcciones virtual, usa mantenimiento de page tables sin bloqueo para que regiones disjuntas se actualicen concurrentemente, y agrega partición de caché de CPU para calidad de servicio. El endurecimiento opcional incluye la Control-Flow Enforcement Technology de Intel y un measured launch con una raíz de confianza dinámica en plataformas Intel TXT.

El diferenciador, y la razón por la que merece la atención de un builder en vez de una nota al pie, es la verificación. NOVA sale bajo GPLv2 en GitHub, y sus especificaciones y pruebas se mantienen por separado como verificación formal verificada por máquina, no solo probado sino demostrado contra un modelo formal. Ese es un claim distinto y más fuerte que el que hace la mayoría del software de aislamiento, y es exactamente el tipo de claim que sobrevive al contacto con un adversario que controla un driver malicioso. La salvedad honesta de BlueRock es que el proyecto sigue siendo experimental, así que no es una capa de producción drop-in hoy.

Ponlo junto a la otra mitad de la historia de seguridad de esta semana y la forma queda clara. El Private Cloud Compute de Apple se apoyó en NVIDIA Confidential Computing y un chip Google Titan para aislar tenants en hardware que Apple no posee, la ruta propietaria, atestada por vendor, hacia la IA confidencial. NOVA es la ruta abierta, GPLv2, verificada formalmente hacia la misma meta: cómo aíslas workloads, y los dispositivos con los que hablan, en infraestructura de IA compartida lo bastante fuerte como para probarlo, no solo afirmarlo. El DMA es la superficie de ataque poco discutida en esa imagen, porque el dispositivo puede alcanzar memoria que el OS cree protegida, y a medida que la inferencia se consolida en máquinas multi-tenant densas, un trusted computing base mínimo y probado es el único tipo de claim de aislamiento que aguanta cuando el driver mismo es la amenaza.