Un inquilino de la nube que utilice únicamente acceso regular a la GPU puede aumentar o disminuir el consumo de energía de un centro de datos lo suficientemente rápido como para amenazar la red en funcionamiento, sin abusos ni intrusiones.
Este es el argumento detrás de Bit2Watt, como lo describen tres investigadores de la Universidad de Zhejiang en un artículo aceptado en la conferencia de seguridad de hardware CHES 2026 de la IACR, y la evidencia es doble. Midieron la modulación de potencia en GPU reales y simularon la inestabilidad de la red eléctrica que podría causar.
Esta técnica invierte el modelo habitual de ataque a la red. No hay sensores comprometidos, ni malware en el sistema de control, ni credenciales de operador robadas, solo una carga de trabajo diseñada para comportarse mal intencionalmente.
Esto funciona porque el consumo de energía de la GPU sigue lo que está computando. Satura el núcleo tensor y el pico de corriente. Se colapsa cuando cae al ralentí. El cambio entre estos estados según un cronograma proporciona oscilaciones de energía controlables en el tomacorriente de pared.
Los autores formulan esto como una pregunta sencilla. «¿Se pueden utilizar como armas acciones puramente computacionales realizadas como cargas de trabajo legítimas para desestabilizar la infraestructura energética?» El resto del documento es su respuesta.
en ambas direcciones
El primer método, llamado SWMA, implica cargar un kernel CUDA especializado que cambia entre modos informáticos de alta intensidad y casi inactivos. El controlador del lado del host establece el cronograma de conmutación y cambia los modos a través de un único indicador de memoria unificada asignado con cudaMallocManaged, una herramienta estándar en lugar de una herramienta especializada.
En las GPU que probamos, las cargas de trabajo sintéticas generaron componentes de potencia desde alrededor de 1,5 kHz hasta 6 kHz, alcanzando un máximo en el RTX 4090. Esto es mucho más alto que los varios hercios generados por las fluctuaciones de carga doméstica, como el aire acondicionado.
Se aplicó no sólo a las tarjetas de juego, sino también a las GPU de centros de datos como la A100 y la Tesla V100. El kernel personalizado y su estrecho circuito de sondeo permiten que el proveedor pueda conocer la huella digital.
La segunda LTMA es lo que debería preocupar a los operadores. Incorporamos modulaciones dentro de la ejecución de entrenamiento LLM real en lugar de núcleos sintéticos, ajustando hiperparámetros e insertando operaciones auxiliares para aumentar o disminuir la carga computacional sin interrumpir el entrenamiento.
El control es más flexible que el SWMA, limitado por la tasa de repetición del bucle de entrenamiento, y la frecuencia es más baja, alrededor de 1,2-3 kHz. Sin embargo, este ruido alcanza amplitudes más altas y se mezcla con el ruido normal del entrenamiento, lo que hace que sea más difícil detectarlo. No se requieren privilegios elevados para ninguno de los métodos, ya que el inquilino ya controla sus propios guiones de capacitación y cronogramas de trabajo.
Estos son números de GPU únicos y simplemente consumen una tonelada. Este artículo modela el caso a gran escala más peligroso. Una red local simulada de 1 MW, alimentada en un 90% por recursos energéticos distribuidos (solar en los tejados y baterías que alimentan cada vez más la red local), tiene 1.000 GPU coordinadas en perfecta sintonía.
En esta simulación del peor de los casos, la distorsión armónica total (THD) actual alcanzó el 46,8%, superando significativamente el estándar de referencia del 13% en el documento IEC 61000-3-12. La relación de amortiguación se redujo a -0,27. Este es un valor negativo que indica un modo inestable en el que la red amplifica las perturbaciones en lugar de atenuarlas.
Este artículo lleva el modelo más allá y lo aplica a una red de 9.241 autobuses que se asemeja a la red eléctrica europea. Allí, una perturbación local correspondiente al 2 % de la carga del sistema se distribuye en cascada en 13 etapas, reduciendo aproximadamente el 81 % de la carga. Este número es una acumulación de supuestos del peor de los casos para un modelo en particular y es una propiedad de la simulación y no una predicción real.
Este paso firme es una suposición que soporta carga y es una suposición optimista para los atacantes. El documento reconoce que la coordinación de las transiciones de energía entre flotas de GPU en la nube del mundo real sigue siendo un problema abierto. En el modelo patentado de 2 kHz, una fluctuación de tiempo con una desviación estándar de 100 microsegundos reduce la amplitud total en aproximadamente un 20%, pero el artículo no afirma que los números reflejen nubes típicas.
Un ataque real requiere que varios elementos se alineen simultáneamente, incluida una cantidad suficiente de GPU físicamente agrupadas, una estrecha sincronización entre ellas, modulación para superar la etapa de limitación de energía del centro de datos y una red resonante para amplificar las frecuencias seleccionadas.
Los experimentos físicos se realizaron en un banco de pruebas controlado y los daños a escala de red fueron el resultado de simulaciones; no se atacó ningún sistema de producción y no se revelaron fallas de seguridad en ningún producto comercial en particular.
Hacker News ha pedido a investigadores de la Universidad de Zhejiang comentarios sobre hasta qué punto escalaría el ataque en un entorno de nube del mundo real y actualizará este artículo si recibimos respuesta.
La razón por la que no es puramente académico es porque la física ya está registrada. En agosto de 2025, Microsoft, OpenAI y NVIDIA publicaron su propio artículo sobre la estabilización de las capacidades de entrenamiento de IA, advirtiendo que las fluctuaciones sincronizadas en trabajos de entrenamiento a gran escala podrían «causar daños físicos a la infraestructura de la red eléctrica» si sus frecuencias coinciden con las frecuencias críticas de los servicios públicos.
Bit2Watt toma ese efecto fortuito y pregunta qué pueden hacer los inquilinos con él intencionalmente.
La red eléctrica también enfrenta la amenaza de que los centros de datos funcionen incorrectamente accidentalmente. En julio de 2024, se produjo una falla en la transmisión de energía en un área con gran densidad de centros de datos en el norte de Virginia, lo que dejó fuera de la red aproximadamente 1.500 MW de la carga del centro de datos a la vez, y los propios sistemas de protección de la instalación desconectaron la carga como energía de respaldo.
NERC, que supervisa la confiabilidad de la red eléctrica de América del Norte, dijo que si bien los operadores tuvieron que hacer ajustes de voltaje, no había riesgo de confiabilidad por el corte en ese momento. Advirtiendo que los peligros aumentan a medida que crecen estas cargas, su comité técnico creó un grupo de trabajo sobre cargas a gran escala para estudiarlas a finales de 2024.
Nadie atacó nada. El centro de datos se protegió a sí mismo. La cuestión no es que la red esté al borde del colapso, sino que cargas de esa magnitud pueden caer instantáneamente, más rápido de lo que los operadores pueden planificar, y el riesgo aumenta a medida que estas flotas crecen.
El ciclo termina con lo que los autores llaman Watt2Bit, donde la perturbación se retroalimenta al lado informático. El análisis de este documento muestra cómo el calentamiento armónico y los aumentos de corriente pueden activar protección térmica y contra sobrecorriente, apagando servidores GPU y convirtiendo los problemas de calidad de la energía en denegación de servicio.
Aún más extraño es que la misma modulación también sirve como canal encubierto. Codificando los bits como dos frecuencias (1 a 2 kHz y 0 a 200 Hz), el equipo capturó la radiación electromagnética con una antena de campo cercano conectada a una radio definida por software y recuperó la secuencia de prueba de 50 bits sin errores.
Esto es similar a PowerHammer, el ataque de exfiltración de datos aislados que THN cubrió en 2018, pero con una diferencia. Mientras que PowerHammer lee datos a lo largo de la línea eléctrica y escucha a escondidas desde el tomacorriente hasta el panel eléctrico del edificio, el canal de Bit2Watt requiere una antena que capte EMI de corto alcance muy cerca del hardware.
Ninguno de los dos se comunicará con usted a través de Internet. Ambos requieren una fuente de energía o un andamio físico cerca de la máquina.
No hay errores que parchear
La telemetría estándar apenas puede capturarlo. Los contadores de la PDU en rack se muestrean una vez por segundo, la telemetría NVML de NVIDIA está a 450 Hz, e incluso las interfaces comunes más rápidas, RAPL y Server BMC, alcanzan un máximo de casi 1 kHz y la modulación se realiza varias veces más rápido.
Los detectores livianos que los investigadores construyeron basándose en energía y datos NVML tuvieron un desempeño deficiente. Agregar capacidades de creación de perfiles de GPU lo mejoró y la detección EMI dedicada funcionó mejor. LTMA siempre ha sido más difícil de detectar que SWMA. Estos resultados provienen de detectores de grado de investigación en lugar de sistemas propietarios administrados por grandes proveedores de nube, por lo que no prueban que los hiperescaladores se lo pierdan.
El mayor problema no es la visibilidad. No hay errores del producto que corregir porque la vulnerabilidad es la arquitectura misma, el estrecho acoplamiento entre la carga volátil de la GPU y la red con muchos inversores que no se puede monitorear con el monitoreo tradicional.
Este artículo proporciona ambas defensas simultáneamente, incluidas baterías, supercondensadores y filtrado de armónicos del lado de potencia. Detección de anomalías en el uso de GPU y programa de capacitación del lado informático. Esto construirá un sistema único que unirá a los dos como trabajo futuro.
El lado de la computación y el lado de la red son administrados por diferentes compañías, monitoreados por diferentes herramientas, y ninguno está diseñado para monitorear al otro. En esa costura es donde vive Bit2Watt y actualmente no tiene propietario.
Source link
