助力制造业数字化转型成功

在芯片、元件和系统之间移动以及处理优先处理顺序不明确的情况下，设计团队只能在合并和共享存储之间取得平衡以降低成本，或增加更多不同类型的存储来提升效能、降低功耗。

但这个问题不仅仅是内存供应商面临的挑战;其他AI利益相关者也在发挥作用，解决方案最关键的一部分是内存互联，即内存离计算越来越近。在人工智能硬件峰会内存互联的挑战和解决方案圆桌讨论上Rambus研究员Steve Woo表示：“我们都在人工智能的不同方面工作。”

从目前来看，内建SRAM和DRAM存储仍是当前主推技术。DRAM密度高、使用电容储存结构相对简单，又具有低延迟、高效能和接近无限次存取的耐用度，功耗也比较低。SRAM速度非常快，但较为昂贵且密度有限。这些不同的需求会影响存储的类型、数量以及内建或外接存储的选择。

Marvell ASIC业务部门的CTO Igor Arsovski在SRAM方面有着丰富的经验，他表示，用啤酒来比喻内存互连并不坏。 “SRAM就好比一瓶啤酒。它很容易使用，使用它的能耗很低，它只提供你所需的。“但如果内存不够，你就会走得更远，而且需要消耗更多的能量，就像需要走得更远才能买到啤酒一样。”

HBM vs LPDDR

外接存储的竞赛，基本上以DRAM-GDDR和HBM为主。从工程和制造角度来看，GDDR比较像DDR和LPDDR等其他类型的DRAM，可以放在一个标准的印刷电路板上并使用类似的制程。

HBM是比较新的技术，牵涉到堆叠和矽中介层，每个HBM堆叠都有上千个连接，因此需要高密度的互连，这远远超过PCB的处理能力。HBM追求最高效能和优质的电源效率，但成本更高，需要更多的工程时间和技术。GDDR的互连没这么多，但会影响讯号的完整性。
 

另一个常见的发现是可劫持的存储库作为Git子模块，这是标准依赖分析可能会忽略的。

另一方面，“libraries.io”数据集是一个已经清理、过滤和格式化的数据集，它使我们能够构建依赖图并轻松评估此漏洞的广泛性。通过这些数据集，我们可以更全面地了解此漏洞对开源项目的总体影响。

步骤2：清理

收集了所有这些数据后，研究人员需要对其进行清理和规范化，这是一项任务量很大的工作，因为研究人员需要考虑每个程序包管理器的不同格式。此外，研究人员希望删除所有实际上没有作为依赖关系使用的链接。这些链接中有很多是在注释中使用的，例如//code inspired from github.com/username/reponame，或者在文档文本文件中。由于研究人员主要关心代码注入的可能性，所以研究人员删除了代码不会直接使用的任何内容。这就给研究人员留下了超过200万个独特的GitHub链接，这些链接被文件以有意义的方式引用。

步骤3：可劫持的用户名

现在研究人员有了一个直接依赖于GitHub链接的清晰项目列表，研究人员需要找到当前未注册的用户。到目前为止，研究人员有大约650k个Github用户名需要整理。使用GitHub API，研究人员可以检查用户名是否存在，但研究人员的速度限制在每小时5000个请求，这意味着检查所有用户名要花费5天以上的时间。通过一些巧妙的逻辑和GitHub GraphQL API，研究人员能够将扫描所有650k用户的时间缩短到2小时多一点。

那么，结果如何呢?研究人员发现，研究人员收集的用户名中有7%(约50k)是未注册的。老实说，研究人员没想到这个数字会这么高。研究人员认为只有不到1%的用户名是可以被劫持的。显然，人们对自己的用户名感到厌倦的程度远远超过预期。

步骤4：易受攻击的项目

一旦研究人员有了所有可能被劫持的用户名，漏洞就只是对研究人员的数据集进行反向搜索，每个项目都依赖于一个用户名所拥有的存储库。经过进一步的过滤和清理误报后，研究人员发现总共有18000个项目直接容易受到库劫持的攻击。这些项目在GitHub上总共有超过50万颗星星，并且包括了来自一些最大的开源组织的几乎每种语言的项目。

仅这个数字就令人恐惧，但是现代代码库并不是运行在单个存储库中的庞大整体。相反，它们在功能上依赖于许多其他项目。这对于可维护性和可重用性来说是很好的，但这意味着单个流行依赖关系中的漏洞会极大地影响依赖关系链上的许多项目。实际上，任何依赖于18000个直接易受攻击项目的项目本身也是易受攻击的。

（编辑：济宁站长网）

【声明】本站内容均来自网络，其相关言论仅代表作者个人观点，不代表本站立场。若无意侵犯到您的权利，请及时与联系站长删除相关内容!