多伦多大学曝GPUThor攻击，突破Nvidia GPU的ECC防护

多伦多大学研究人员8月下旬公开了一种名为「GPUThor」的新型攻击手法，证实这种基于Rowhammer原理的攻击能够绕过Nvidia GPU内置的ECC（错误更正码）内存防护。研究团队已在采用Ampere架构、搭载GDDR6显存的Nvidia工作站GPU——包括RTX A4000、RTX A4500、RTX A5000与RTX A6000——上完成验证，这些型号广泛用于AI与云计算基础设施。研究团队于今年4月29日向Nvidia通报漏洞，Nvidia则在8月25日发布缓解建议，双方在披露前保持了约四个月的协调沟通期。

ECC为何是AI GPU不可或缺的防线

内存芯片在长时间高负载运行下，会因宇宙射线、电磁干扰或制造瑕疵而偶发「位翻转」（bit flip）——原本存储为0的位被意外翻转成1，反之亦然。对一般计算而言，零星的位翻转或许只造成画面噪点；但对AI训练与推理而言，位翻转可能直接篡改模型权重、梯度或激活值，导致训练结果偏移，甚至在推理阶段生成错误但看似合理的输出，却不会留下任何警示。ECC正是为防范这类风险而生：通过在每个内存块额外存储校验码，系统能自动纠正单比特错误（single-bit error），并检测双比特错误（double-bit error），这种方案称为SECDED。这也是云服务商敢于让多个租户共用同一张物理GPU、并保证运算结果可信的关键前提。

GPUThor如何突破ECC防线

GPUThor的核心手法，是让内存访问呈现「非均匀」（non-uniform）的攻击节奏，同时利用两项Nvidia从未公开文档化的GPU行为：GPU如何合并（coalesce）连续的内存访问请求，以及GDDR6显存的Target Row Refresh（TRR，目标行刷新）机制实际触发的频率。通过精准避开TRR的检测门槛，GPUThor得以在不触发防御机制的情况下，持续「敲打」（hammer）目标内存行，使相邻行产生位翻转。

• 在未启用ECC的受测GPU上，GPUThor造成每GB内存72,000至377,000次位翻转，是研究团队此前GPUHammer攻击成果的最多23,597倍。
• 即使启用ECC，GPUThor仍能制造387次「双比特错误」（ECC可检测但无法纠正）与2次「三比特错误」（超出ECC纠错能力，纠错后反而造成数据损坏）。
• 找到一个可被利用的位翻转，平均只需约1.1分钟，相较GPUHammer的21.9小时大幅缩短。
• 针对启用ECC的RTX A6000持续攻击，可造成GPU每两小时自动重置一次、所有运算任务中断，重复攻击后GPU甚至会自我标记为需更换。

除了拒绝服务（DoS），研究人员还展示了更危险的一种后果：通过篡改GPU页表（page table），一个原本没有特殊权限的CUDA程序可以获得任意内存访问能力，进而在主机端开启root shell——换言之，攻击者可能从一段普通的GPU运算任务，一路取得整台服务器的最高权限。研究团队同时指出，数据中心级别的Ampere GPU（如A100）虽然在拒绝服务层面较具韧性，但同样可能遭到权限提升攻击；就连采用Blackwell架构、具备RAS Repair防护的新一代GPU，也只是让攻击耗时更久，并未从根本阻绝风险；研究人员甚至警示，配备HBM3e或GDDR7、且内置片上ECC的新型显存，在多位翻转的情境下同样可能受影响。

谁是真正暴露在风险中的目标

GPUThor瞄准的并非个人电脑，而是AI训练与推理所依赖的数据中心GPU集群，尤其是云服务商将同一张物理GPU切分给多个租户共用的场景——这正是多数公有云GPU实例（GPU instance）的运作方式。一旦攻击者能在云平台上租到一小段运算时间，就有机会利用GPUThor干扰、甚至篡改同一硬件上其他租户的AI训练或推理任务，这对依赖GPU云算力训练大模型的企业而言，是一种难以从应用层察觉的供应链风险。Nvidia的应对建议聚焦在多租户隔离与监控：启用SYS-ECC与IOMMU/DMA隔离、持续监控GPU错误遥测数据，并限制不受信任的CUDA工作负载共用同一硬件。

对中国企业意味着什么

国内不少企业依赖云服务商——阿里云、腾讯云、华为云等——租用GPU算力来训练或运行AI模型，而GPUThor提醒了一个容易被忽视的事实：API调用背后的物理GPU很少是独占硬件，绝大多数情况下都与其他租户共享。在把一个GPU云实例默认当作可信、隔离的环境之前，安全与基础设施团队应主动向云服务商确认Nvidia建议的SYS-ECC与IOMMU/DMA隔离是否已经启用，要求获得GPU错误遥测数据的可见性，并把多租户GPU隔离风险正式纳入供应商安全评估的范畴——而不只是配置清单上顺带勾选的一项，而是关于共享显卡究竟如何被保护的实质提问。