32 块 B300 被追到中国电信网络，入口是个监控端口

出口管制的顶级芯片怎么查去向？一家以色列公司的做法不是等审计，是直接扫互联网上没人设防的监控端口——GPU 机器自己会"报户口"。

一、发生了什么

据 The Information 10 月 22 日报道（经行业博客转述），以色列公司 Lava 扫描了公网上无需身份验证、可公开访问的英伟达 DCGM Exporter 监控端点。DCGM 是英伟达的数据中心 GPU 管理工具，其导出组件常被运维用来上报显卡状态，配置不当时会监听在公网接口上。扫描结果里，32 块 Blackwell Ultra B300 芯片被关联到与中国电信相关的网络——按美国现行政策，这类芯片对中国出口适用许可推定拒绝，理论上不应出现在那里。报道同时给了更大盘子：全球约 2100 台暴露的主机，报告超过 12000 块 GPU，涉及约 300 个组织。报道也明确提示，网络关联不能证明芯片的物理位置，这是这类追踪方法的固有边界。

这件事的讽刺之处在于工具属性：DCGM Exporter 本是运维的好帮手，Prometheus 抓取指标、大盘看利用率，都靠它。问题出在部署姿势——容器一跑、端口一映射，忘了套内网或加认证，指标就对着全世界广播了。扫描者不需要入侵任何一台机器，只需要一个端口扫描器加耐心，就能汇总出谁在用哪一代显卡、用了多少块。对做算力情报的人来说，这是最低成本的数据源；对被扫到的机构来说，这是白白送出去的资产清单。

二、跟你有什么关系

• 机房运维：暴露的不是芯片本身，是整台机器的状态信息，先查自家监控端点有没有绑在公网。
• 安全合规负责人：GPU 部署台账和实际网络位置对不上的，这次事件是很好的内查由头，顺手把指标类端点全量盘一遍。
• 采购与出口合规团队：第三方扫描已成常态，硬件去向的合规证明不能再只靠纸质流程。

三、怎么判断

1. 立即检查 DCGM Exporter 或类似指标组件的监听地址，公网可达就改回内网，前置鉴权。2. 防火墙策略里给指标端口单独拉清单，默认拒绝外部访问，变更走审批。
2. 看到这类"芯片被定位"的报道，先区分"网络关联"和"实物查获"，前者只是线索。
3. 定期从外部视角做一次端口测绘，内网自查永远发现不了"映射出去"的那部分暴露面。

四、三个别信的说法

监控端口只读不写，暴露无所谓。 指标泄露的是硬件型号、数量、利用率，对追踪者和攻击者都是免费情报，用途不止定位。

只有大厂机房才需要管。 报告里约 300 个组织的规模说明暴露面很散，中小机构配合错配置照样上榜。

网络关联等于实物证据。 原报道自己都强调这个限制，IP 归属被代理、被转接的情况太常见，结论要留余地。

升级芯片型号才解决暴露。 B300 被扫出来不是因为型号特殊，而是端口开放，换成任何型号、端口照开，结果一样。

五、一句话结论

你随手开的监控端口，正在替不相干的人盘点你的家底。

信息来源

• Lava 经暴露的 DCGM 端点追踪 32 块 B300 至中国电信关联网络（MindPattern 行业简报） 2026-10-23

功能与价格以官方公告为准。本文写于 2026 年 10 月 24 日。