GPUThor: ataque Rowhammer derruba a proteção ECC das GPUs Nvidia

Pesquisadores da Universidade de Toronto revelaram, no fim de agosto, uma nova técnica de ataque batizada de GPUThor, capaz de driblar a proteção ECC (código de correção de erros) embutida nas GPUs da Nvidia. O método, baseado no princípio do Rowhammer, foi validado em GPUs de estação de trabalho com arquitetura Ampere e memória GDDR6 — as RTX A4000, A4500, A5000 e A6000 —, modelos amplamente usados em infraestrutura de IA e nuvem. A equipe notificou a Nvidia em 29 de abril, e a empresa publicou recomendações de mitigação em 25 de agosto, após cerca de quatro meses de divulgação coordenada.

Por que a ECC é indispensável em uma GPU de IA

Um chip de memória sob carga intensa pode sofrer, de forma aleatória, uma 'inversão de bit': um bit gravado como 0 muda acidentalmente para 1, ou vice-versa, por efeito de raios cósmicos, interferência elétrica ou defeitos de fabricação. No uso cotidiano, uma inversão isolada costuma passar despercebida. Mas no treinamento ou na inferência de um modelo de IA, ela pode corromper diretamente pesos, gradientes ou valores de ativação — distorcendo silenciosamente um treinamento ou gerando, na inferência, uma resposta errada mas plausível, sem qualquer alerta. É exatamente para isso que existe a ECC: ao armazenar um código de verificação extra em cada bloco de memória, o sistema corrige automaticamente erros de um bit e detecta erros de dois bits, esquema conhecido como SECDED. É essa garantia que permite aos provedores de nuvem compartilhar com confiança uma mesma GPU física entre vários clientes.

Como o GPUThor rompe a proteção ECC

O GPUThor martela a memória em um padrão deliberadamente não uniforme, explorando dois comportamentos da GPU que a Nvidia nunca havia documentado: como o chip agrupa (coalesce) requisições repetidas de acesso à memória, e com que frequência o mecanismo Target Row Refresh (TRR) da memória GDDR6 realmente é acionado. Ao se manter logo abaixo do limiar de detecção do TRR, o GPUThor consegue martelar continuamente uma linha de memória alvo, provocando inversões de bit nas linhas vizinhas.

• Nas GPUs testadas sem ECC ativada, o GPUThor provocou entre 72 mil e 377 mil inversões de bit por gigabyte de memória — até 23.597 vezes mais do que o ataque anterior da equipe, o GPUHammer.
• Mesmo com a ECC ativada, o GPUThor gerou 387 erros de dois bits (que a ECC detecta mas não corrige) e dois erros de três bits, que superam a capacidade de correção da ECC e causaram corrupção de dados.
• Encontrar uma inversão de bit explorável agora leva, em média, cerca de 1,1 minuto, ante 21,9 horas com o GPUHammer.
• Um ataque sustentado contra uma RTX A6000 com ECC ativada pode forçar a GPU a reiniciar a cada duas horas, interrompendo todas as tarefas em execução; repetido, pode levar a placa a se sinalizar como necessitando substituição.

Além da negação de serviço, os pesquisadores demonstraram um cenário mais grave: ao corromper as tabelas de página da GPU, um programa CUDA sem privilégios especiais pode obter acesso arbitrário à memória e abrir um shell root na máquina hospedeira — transformando uma tarefa comum de computação em GPU em controle total do servidor. GPUs de data center da geração Ampere, como a A100, resistem melhor à negação de serviço, mas continuam vulneráveis à escalada de privilégios; mesmo as GPUs Blackwell com proteção RAS Repair apenas tornam o ataque mais demorado, sem impedi-lo. Os pesquisadores alertam que futuras GPUs com GDDR7 ou HBM3e, com ECC embutida na própria memória, ainda podem ser vulneráveis em cenários de inversões de múltiplos bits.

Quem está realmente exposto

O GPUThor mira os clusters de GPU de data centers que sustentam o treinamento e a inferência de IA, em especial as instâncias de GPU em nuvem multi-inquilino — o modelo padrão da maioria das ofertas de GPU em nuvem pública, em que vários clientes compartilham uma mesma placa física. Um invasor que alugue apenas uma pequena fatia de tempo de computação poderia interromper, ou até corromper, o treinamento ou a inferência de outro cliente hospedado no mesmo hardware — um risco invisível na camada de aplicação. As recomendações da Nvidia se concentram em isolamento e monitoramento: ativar SYS-ECC e isolamento IOMMU/DMA, monitorar continuamente a telemetria de erros da GPU e restringir o compartilhamento de cargas CUDA não confiáveis no mesmo hardware.

O que isso muda para as empresas brasileiras

Empresas brasileiras que treinam ou executam modelos de IA alugando instâncias de GPU de provedores como AWS, Microsoft Azure, Google Cloud ou operadores locais menores dependem, na prática, de uma GPU física raramente dedicada — quase sempre compartilhada com outros clientes. O GPUThor é um lembrete de que essa suposição de isolamento precisa ser verificada, não presumida. Antes de tratar uma instância de GPU em nuvem como um ambiente confiável e isolado, times de segurança e infraestrutura devem confirmar junto ao provedor se o SYS-ECC e o isolamento IOMMU/DMA recomendados pela Nvidia estão de fato ativados, pedir visibilidade sobre a telemetria de erros da GPU e incluir o isolamento multi-inquilino nas revisões de segurança de fornecedores exigidas pela LGPD para o tratamento de dados pessoais — não como um item a mais numa ficha técnica, mas como uma pergunta real sobre como uma placa compartilhada é protegida.