gVisor项目对NVIDIA GPU驱动550.127.05版本的支持分析

gVisor作为Google开源的容器运行时安全沙箱，近期针对NVIDIA GPU驱动550.127.05版本的支持进行了重要更新。这项更新源于NVIDIA发布的安全问题CVE‑2024‑0126，该问题影响了550.x系列驱动中低于550.127.05的所有版本。

在容器化环境中使用GPU加速时，gVisor通过其nvproxy组件实现对NVIDIA GPU驱动的兼容性支持。nvproxy作为gVisor与物理GPU驱动之间的桥梁，负责处理所有与GPU相关的系统调用和IOCTL命令。由于NVIDIA驱动版本间的ABI可能存在差异，gVisor需要针对每个支持的驱动版本进行专门的适配。

值得注意的是，gVisor项目对NVIDIA驱动的支持策略是与Google Kubernetes Engine(GKE)保持同步。通常情况下，gVisor只维护GKE中标记为"LATEST"和"DEFAULT"的驱动版本。这种策略确保了生产环境中使用的驱动版本都能得到gVisor的良好支持。

在本次更新中，虽然GKE的Container-Optimized OS(COS)117-18613-75-4版本最初包含了550.127.05驱动，但随后又切换到了560.35.03版本。考虑到安全修复的重要性，gVisor团队决定破例为550.127.05版本提供支持，即使它不再是GKE中的默认或最新驱动版本。

对于需要使用GPU加速的容器工作负载，用户应当注意gVisor并不支持NVIDIA的显示驱动功能。gVisor的GPU支持主要集中在计算能力上，包括CUDA和cuDNN等计算框架。这种设计决策源于容器环境通常不需要直接访问显示输出的特性。

从安全角度来看，及时更新到修复了CVE‑2024‑0126的驱动版本至关重要。gVisor团队通过与GKE的紧密协作，能够快速响应这类安全更新，确保用户可以在受保护的容器环境中安全地使用GPU加速功能。