多倫多大學曝GPUThor攻擊，繞過Nvidia GPU的ECC防護

多倫多大學（University of Toronto）研究團隊8月下旬公開一種名為「GPUThor」的新型攻擊手法，證實這種基於Rowhammer原理的攻擊能夠繞過Nvidia GPU內建的ECC（錯誤更正碼）記憶體防護。研究人員已在採用Ampere架構、搭載GDDR6記憶體的Nvidia工作站GPU——包括RTX A4000、RTX A4500、RTX A5000與RTX A6000——上完成驗證，這些型號目前廣泛用於AI與雲端運算基礎設施。研究團隊已於今年4月29日向Nvidia通報漏洞，Nvidia則在8月25日發布緩解建議，雙方在揭露前維持了約四個月的協調揭露期。

ECC為何是AI GPU不可或缺的防線

記憶體晶片在長時間高負載運作下，會因宇宙射線、電磁干擾或製程瑕疵而偶發「位元翻轉」（bit flip）——原本儲存為0的位元被意外翻轉成1，反之亦然。對一般運算而言，零星的位元翻轉或許只造成畫面雜訊；但對AI訓練與推論而言，位元翻轉可能直接竄改模型權重、梯度或啟用值，導致訓練結果偏移，甚至在推論階段產生錯誤但看似合理的輸出，卻不會留下任何警示。ECC正是為了防範這類風險而生：透過在每個記憶體區塊額外儲存校驗碼，系統能自動更正單一位元錯誤（single-bit error），並偵測雙位元錯誤（double-bit error），這種方案稱為SECDED。這也是雲端服務商敢於讓多個租戶共用同一張實體GPU、並保證運算結果可信的關鍵前提。

GPUThor如何突破ECC防線

GPUThor的核心手法，是刻意讓記憶體存取呈現「非均勻」（non-uniform）的攻擊節奏，同時利用兩項Nvidia未公開文件化的GPU行為：GPU如何合併（coalesce）連續的記憶體存取請求，以及GDDR6記憶體的Target Row Refresh（TRR，鎖定列刷新）機制實際觸發的頻率。透過精準避開TRR的偵測門檻，GPUThor得以在不觸發防禦機制的情況下，持續「敲打」（hammer）目標記憶體列，使相鄰列產生位元翻轉。

• 在未啟用ECC的受測GPU上，GPUThor造成每GB記憶體72,000至377,000次位元翻轉，是研究團隊先前GPUHammer攻擊成果的最多23,597倍。
• 即使啟用ECC，GPUThor仍能製造387次「雙位元錯誤」（ECC可偵測但無法修正）與2次「三位元錯誤」（超出ECC修正能力，遭錯誤更正後反而造成資料毀損）。
• 找到一個可被利用的位元翻轉，平均只需約1.1分鐘，相較GPUHammer的21.9小時大幅縮短。
• 針對啟用ECC的RTX A6000持續攻擊，可造成GPU每兩小時自動重置一次、所有運算工作中斷，重複攻擊後GPU甚至會自我標記為須更換。

除了拒絕服務（DoS），研究人員展示了更危險的一種後果：透過竄改GPU分頁表（page table），一個原本沒有特殊權限的CUDA程式可以取得任意記憶體存取能力，進而在主機端開啟root shell——換言之，攻擊者可能從一段普通的GPU運算任務，一路取得整台伺服器的最高權限。研究團隊同時指出，資料中心等級的Ampere GPU（如A100）雖然在阻斷服務層面較具韌性，但同樣可能遭到權限提升攻擊；就連採用Blackwell架構、具備RAS Repair防護的新一代GPU，也只是讓攻擊耗時更久，並未從根本阻絕風險；研究人員甚至提出警訊，配備HBM3e或GDDR7、且內建on-die ECC的新型記憶體，在多位元翻轉的情境下同樣可能受影響。

誰是真正暴露在風險中的目標

GPUThor鎖定的並非個人電腦，而是AI訓練與推論所仰賴的資料中心GPU叢集，尤其是雲端服務商將同一張實體GPU切分給多個租戶共用的場景——這正是多數公有雲GPU執行個體（GPU instance）的運作方式。一旦攻擊者能在雲端平台上租用到一小段運算時間，就有機會利用GPUThor干擾、甚至竄改同一硬體上其他租戶的AI訓練或推論工作，這對仰賴GPU雲端算力訓練大型模型的企業而言，是一種難以從應用層察覺的供應鏈風險。Nvidia的因應建議聚焦在多租戶隔離與監控：啟用SYS-ECC與IOMMU／DMA隔離、持續監控GPU錯誤遙測數據，並限制不受信任的CUDA工作負載共用同一硬體。

對台灣廠商意味著什麼

台灣是Nvidia GPU供應鏈的核心一環：台積電（TSMC）代工生產Nvidia絕大多數運算晶片，廣達、緯穎、技嘉等廠商負責組裝AI伺服器與GPU機櫃，中華電信旗下的台灣AI雲端運算中心（TWCC）等業者則直接營運提供多租戶GPU算力的雲端服務。GPUThor不是製程或封裝層級的漏洞，短期內不會改變台灣廠商的代工與組裝流程，但它提醒所有經手Nvidia GPU伺服器交付與維運的廠商：對外提供共用GPU算力服務的業者，需要重新檢視是否已依Nvidia建議啟用SYS-ECC與IOMMU／DMA隔離、是否建立GPU錯誤遙測的持續監控機制，並在客戶合約與資安揭露中，把「共用GPU的租戶隔離風險」視為需要正式評估與定期稽核的項目，而不只是硬體規格表上的一個勾選欄位。