Un estudio detecta miles de servidores GPU con monitoreo expuesto

Una investigación difundida por Lava puso el foco en servidores GPU cuyo servicio NVIDIA DCGM Exporter podía consultarse desde internet sin autenticación. En cuatro barridos, la empresa identificó cerca de 2.100 servidores que publicaban datos de más de 12.000 GPU. La telemetría expuesta podía revelar información sobre el hardware y su utilización, útil para conocer cómo opera una infraestructura de IA.

La investigación también aborda CVE-2026-47483, una vulnerabilidad en los puntos de acceso de diagnóstico /debug/pprof de DCGM Exporter. Solicitudes simultáneas sin autenticación podrían agotar recursos, interrumpir el monitoreo y permitir la divulgación de información. No es un parche nuevo: NVIDIA publicó su boletín y la actualización correspondiente en julio de 2026. La noticia reciente es la dimensión de la exposición documentada por Lava, no el descubrimiento de una falla sin solución.

La distinción importa para priorizar el trabajo. Actualizar el componente vulnerable atiende el riesgo descrito en el boletín, pero no corrige por sí solo una configuración que deja métricas accesibles públicamente. Del mismo modo, encontrar un servicio de monitoreo expuesto no demuestra que haya sido explotado. Lava indicó que notificó a proveedores de infraestructura afectados, cuyos equipos colaboraron para avisar a clientes.

Si tu empresa opera servidores GPU propios o alquilados, revisa desde qué redes se puede acceder a DCGM Exporter, elimina la exposición pública innecesaria y comprueba la versión instalada frente al boletín de NVIDIA. También vale la pena incluir los servicios de observabilidad en el inventario de superficie expuesta: aunque no procesen directamente las solicitudes de una aplicación, pueden entregar información sobre la infraestructura que la sostiene.