Por Canuto  

GPUThor, una nueva variante de Rowhammer, logró superar la corrección de errores ECC en cuatro GPU Nvidia Ampere y convertir código CUDA sin privilegios en acceso root al equipo anfitrión.
***

  • GPUThor multiplicó hasta 23.500 veces las inversiones de bits frente a ataques anteriores contra GPU.
  • El ataque puede provocar reinicios, corrupción silenciosa de datos y escalada de privilegios en equipos con GPU compartida.
  • Los investigadores sostienen que una solución completa requerirá hardware nuevo y defensas de memoria más avanzadas.

Un ataque que supera la defensa recomendada

Un equipo de investigadores de la Universidad de Toronto desarrolló GPUThor, un ataque Rowhammer capaz de atravesar la corrección de errores ECC en determinadas GPU Nvidia. La técnica funciona en las tarjetas de estación de trabajo RTX A4000, A4500, A5000 y A6000, todas pertenecientes a la generación Ampere, y convierte un programa CUDA ordinario sin privilegios en un shell de root dentro del equipo anfitrión.

El hallazgo resulta especialmente relevante porque Nvidia había recomendado activar ECC a los usuarios preocupados por Rowhammer. El equipo incluye al estudiante de doctorado Chris (Shaopeng) Lin, además de Joyce Qu, Gururaj Saileshwar y otros investigadores de la Universidad de Toronto. El trabajo fue presentado el 25 de agosto, mientras que la compañía emitió un aviso de seguridad el 21 de agosto.

El artículo será presentado en la conferencia ACM CCS, prevista para noviembre en La Haya, y el código del ataque permanecerá privado hasta el 15 de noviembre. Por ahora no existe un parche, y los investigadores sostienen que una corrección completa no puede lograrse únicamente mediante software, porque requeriría cambios en el hardware de memoria.

La amenaza se vuelve más delicada en estaciones de trabajo de inteligencia artificial y en servicios de nube que comparten una misma GPU entre varios usuarios. En esos entornos, un programa aparentemente común podría intentar modificar la memoria de otro proceso, bloquear la tarjeta o aprovechar la corrupción de estructuras internas para alcanzar el sistema anfitrión.

Cómo funciona Rowhammer en una GPU

La memoria DRAM almacena cada bit como una carga eléctrica dentro de una celda, y esas celdas se organizan en filas muy próximas entre sí. Cuando un atacante lee repetidamente una fila, la carga puede filtrarse hacia las filas vecinas y cambiar algunos bits sin que el atacante toque directamente los datos de la víctima.

Durante años, Rowhammer se utilizó como una vía para escapar de sandboxes y elevar privilegios en procesadores. El mismo equipo había trasladado el concepto al ámbito gráfico con GPUHammer, que en 2025 produjo las primeras inversiones de bits en memoria GDDR6, y con GPUBreach, que posteriormente convirtió esas alteraciones en un shell de root.

Los dos ataques anteriores dejaban de funcionar cuando el usuario habilitaba ECC, porque la corrección podía reparar una inversión de un bit y detectar una segunda. Sus resultados oscilaban entre decenas y cientos de inversiones por gigabyte, un nivel que la defensa integrada todavía podía manejar en las condiciones probadas.

GPUThor utiliza una estrategia distinta: no intenta ser más sutil, sino golpear con mucha mayor intensidad y aprovechar con precisión el comportamiento del sistema de memoria. Los investigadores identificaron dos obstáculos que habían limitado a las técnicas anteriores, relacionados con la fusión de solicitudes repetidas y con el calendario de refresco de la memoria GDDR6.

Más intensidad, más errores y una escalada acelerada

El sistema de memoria de la GPU fusiona las peticiones repetidas dirigidas a una misma dirección, por lo que un martilleo ingenuo puede terminar convertido en una sola activación efectiva. El equipo descubrió que los accesos realizados desde diferentes warps y dirigidos a distintas líneas de caché dentro de una misma fila sobreviven como operaciones separadas, lo que permite aumentar la presión real sobre la memoria.

El segundo descubrimiento estuvo relacionado con Target Row Refresh, la defensa que refresca filas cercanas cuando detecta actividad peligrosa. En la memoria GDDR6 de Ampere, el mecanismo se activa aproximadamente una vez cada 72 intervalos de refresco, en lugar de hacerlo una vez por intervalo como se suponía, y los patrones sincronizados con ese calendario pueden repetirse de manera confiable.

Con esos ajustes, GPUThor alcanzó 6,6 veces la intensidad de martilleo de los ataques anteriores contra GPU y generó entre 500 y 23.500 veces más inversiones de bits. En la RTX A5000, los investigadores registraron 377.000 inversiones por gigabyte con ECC desactivado, frente a unas 550.000 que alcanza Blacksmith, el ataque Rowhammer más potente probado contra CPU con memoria DDR4.

La diferencia también aparece en el tiempo necesario para completar una escalada de privilegios. Un procedimiento que tardaba 21,9 horas con patrones de GPUHammer se redujo a 1,1 minutos con GPUThor, una aceleración que transforma una demostración experimental en un riesgo mucho más concreto para cargas de trabajo que ejecutan código no confiable.

Qué puede hacer un atacante

Cuando ECC está habilitado, las inversiones de bits de GPUThor llegan a una velocidad superior a la capacidad de corrección. Los investigadores registraron 387 errores de doble bit que el sistema pudo detectar, pero no corregir, y también observaron dos errores de triple bit que ECC reparó silenciosamente con un valor incorrecto.

El primer escenario es una denegación de servicio. En una RTX A6000 con ECC activado, GPUThor provocó un reinicio de la GPU aproximadamente cada dos horas, lo que terminó con los trabajos que se ejecutaban en la tarjeta y llevó a que, en el plazo de un día, el dispositivo se declarara defectuoso y solicitara su reemplazo.

El segundo escenario es la toma de control del equipo. Al corromper las tablas de páginas de la GPU, un programa sin privilegios puede obtener acceso de lectura y escritura a cualquier región de memoria y abrir un shell de root en la CPU anfitriona, un resultado que los investigadores describen como la primera toma de control de ese tipo en una GPU protegida con ECC.

El tercer riesgo es la corrupción silenciosa, particularmente preocupante para los sistemas que entrenan o sirven modelos de inteligencia artificial. Si una corrección errónea altera un peso sin activar una alerta visible, el modelo puede incorporar un valor incorrecto que resulte difícil de rastrear hasta la memoria física.

El riesgo para la nube y la inteligencia artificial

Las cuatro tarjetas confirmadas son componentes de estación de trabajo utilizados en entornos de inteligencia artificial y en algunas instancias de nube. Nvidia indicó que no se observaron inversiones de bits en tarjetas con memoria GDDR6X o HBM2e bajo los mismos patrones, mientras que los investigadores tampoco encontraron inversiones en HBM ni en GDDR7.

Sin embargo, el alcance potencial podría ser mayor. El artículo señala que la escalada de privilegios podría seguir funcionando en GPU de servidor A100, que emplean una clase similar de corrección de errores, aunque las tarjetas A100 no forman parte de las cuatro plataformas confirmadas directamente en las pruebas descritas.

El artículo también sostiene que la función de reparación de Blackwell ralentiza el ataque, pero no lo detiene por completo. Nvidia no ha confirmado en la información disponible el alcance operativo de esa posibilidad en sus flotas, por lo que la pregunta sobre las GPU de servidor sigue siendo uno de los principales puntos que deberán aclararse.

El modelo de amenaza se vuelve especialmente importante cuando una GPU física se comparte por turnos entre varios inquilinos. Un usuario malicioso alojado en la misma tarjeta podría intentar invertir bits en datos pertenecientes a otra carga de trabajo, bloquear el dispositivo compartido o explorar una ruta hacia el sistema anfitrión.

Mitigaciones y próximos pasos

La recomendación de Nvidia consiste en habilitar simultáneamente el ECC del sistema y el aislamiento mediante IOMMU, además de vigilar la telemetría de errores y restringir las cargas de trabajo no confiables. Los investigadores agregan que los operadores deberían evitar compartir una GPU física entre inquilinos que no confían entre sí.

Un aumento repentino en los conteos de errores corregidos también debería tratarse como una posible señal de ataque en curso. La advertencia es relevante incluso en tarjetas que no se comparten, porque una estación de trabajo puede ejecutar modelos descargados de internet, paquetes incorporados por scripts de entrenamiento o agentes que operan dentro de un sandbox.

La separación estricta entre usuarios, sin embargo, entra en tensión con la economía de los servicios de nube especializados. Las empresas que alquilan capacidad por hora dependen de compartir GPU entre clientes, mientras que reservar una tarjeta física para cada inquilino reduce la eficiencia y encarece una infraestructura cuya capacidad de corto plazo ya puede costar el doble que la contratada a largo plazo.

El próximo punto de observación será el 15 de noviembre, cuando el código de GPUThor pueda hacerse público en GitHub. También será determinante saber si la técnica funciona de forma práctica en A100 y en otras GPU de servidor, porque esa confirmación ampliaría considerablemente el número de sistemas de entrenamiento y servicio de modelos potencialmente expuestos.

Los investigadores sostienen que una respuesta completa necesitaría ECC capaz de manejar varios bits o defensas de memoria de la clase utilizada en DDR5, como Refresh Management y Per-Row Activation Counting. Mientras esas tecnologías no lleguen a la memoria de las GPU, las implementaciones actuales dependerán de aislamiento, monitoreo y restricciones operativas frente a una técnica que ya logró superar la mitigación recomendada.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados