Egy újonnan nyilvánosságra hozott, GPUThor nevű hardveres támadás képes túlterhelni az NVIDIA több professzionális grafikus processzorán alkalmazott hibajavító kód, azaz ECC védelmét. Ennek eredményeként egy alacsony jogosultságú program összeomlaszthatja a GPU-t, észrevétlenül módosíthat adatokat, valamint a kutatók által demonstrált körülmények között root szintű hozzáférést szerezhet a gazdarendszerhez.
A Torontói Egyetem kutatói által kidolgozott GPUThor jelentős előrelépést jelent a grafikus memóriát célzó Rowhammer-támadások területén. Korábbi kutatások már igazolták, hogy GDDR6 memóriával felszerelt NVIDIA GPU-kon bitátfordulások idézhetők elő, a rendszerszintű ECC engedélyezését azonban eddig hatékony akadálynak tekintették a gyakorlati kihasználással szemben.
A GPUThor ezt a feltételezést kérdőjelezi meg.
A kutatók bebizonyították, hogy gondosan megtervezett, nem egyenletes memória-hozzáférési mintákkal több bitátfordulás is létrehozható ugyanazon ECC-védett memóriablokkon belül. Ez meghaladja a tesztelt GPU-k által használt SECDED – single-error correction, double-error detection – hibajavítási rendszer korrekciós képességét.
Négy Ampere-generációs NVIDIA munkaállomás-GPU-val végzett kísérletek során a kutatók az így létrejövő memóriakorruptálást ismételt eszköz-resetek kiváltására és a GPU laptábláinak manipulálására használták.
A laptáblák elleni támadás végül tetszőleges memóriaelérést biztosított egy alacsony jogosultságú CUDA-alkalmazás számára, amelynek segítségével a kutatók root shellt tudtak nyitni a gazdaszámítógépen.
A tesztelt hardverek között szerepelt az NVIDIA RTX A4000, RTX A4500, RTX A5000 és RTX A6000. Mindegyik GDDR6 memóriát használ, és professzionális munkaállomásokban, AI-fejlesztő rendszerekben, valamint bizonyos felhős számítási környezetekben is alkalmazzák őket.
A kutatók 2026. április 29-én értesítették az NVIDIA-t a GPUThor-ról, és a publikáció előtt az Amazon Web Services, a Google és a Microsoft is értesítést kapott. A kutatás augusztus 25-ig embargó alatt állt, amikor az NVIDIA közzétette saját védekezési útmutatását.
A munkát a tervek szerint 2026 novemberében mutatják be a hágai ACM Conference on Computer and Communications Security konferencián.
A Rowhammer a CPU-król a nagy értékű GPU-infrastruktúrákra helyeződik át
A Rowhammer egy hardverszintű gyengeség, amely a dinamikus véletlen hozzáférésű memória, vagyis a DRAM fizikai felépítéséből ered.
A DRAM az adatokat elektromos töltésként, egymáshoz rendkívül közel elhelyezkedő memóriacellákban tárolja, amelyek sorokba rendeződnek.
Ha egy adott memóriasort nagyon gyorsan, ismételten aktiválnak, az elektromos zavarhatja a szomszédos sorokat. Ha a zavar elég erős, egy közeli memóriahelyen tárolt bit nulláról egyre vagy egyről nullára változhat – még akkor is, ha a támadó folyamatnak nincs jogosultsága az adott memória módosítására.
Ez a képesség, vagyis a program saját engedélyezett memóriatartományán kívüli adatok módosítása teszi a Rowhammert többé egyszerű megbízhatósági problémánál.
Korábbi CPU-alapú Rowhammer-kutatásokból már születtek jogosultságemelési támadások, sandbox escape-ek, kriptográfiai kulcsmanipulációk és egyéb súlyos biztonsági kompromittálási technikák.
A módszer GPU-kra történő adaptálása azonban jóval nehezebbnek bizonyult.
A GPU-k memóriaarchitektúrája eltér a CPU-kétól, a szoftveres címek és a fizikai memória közötti kapcsolat jelentős része gyártói titok, a GDDR6 típusú grafikus memória pedig eltérő késleltetési, frissítési és kéréstovábbítási viselkedéssel működik, mint a hagyományos CPU-memória.
A modern DRAM-ok emellett olyan védelmi mechanizmusokat is alkalmaznak, mint a Target Row Refresh, röviden TRR.
A TRR célja, hogy felismerje a szokatlanul gyakran aktivált memória-sorokat, majd a szomszédos sorokat még azelőtt frissítse, hogy a bennük tárolt töltés eléggé leromlana egy bitátfordulás kiváltásához.
A GPUThor kifejezetten arra készült, hogy mind a GPU-architektúrából eredő korlátokat, mind ezeket a memórián belüli védelmi mechanizmusokat megkerülje.
A GPUHammertől a GPUThorig
A Torontói Egyetem kutatócsapata korábban a GPUHammer nevű támadást fejlesztette ki, amely bebizonyította, hogy egy NVIDIA RTX A6000 GDDR6 memóriájában Rowhammer-támadással bitátfordulások idézhetők elő.
A GPUHammer fontos mérföldkő volt, mert igazolta, hogy a diszkrét GPU-memória sem immunis a korábban elsősorban CPU-memóriához kötött fizikai zavarhatásokkal szemben.
A kutatás azt is demonstrálta, hogy már nagyon kevés, megfelelő helyen létrejövő bitátfordulás is súlyosan károsíthat gépi tanulási munkafolyamatokat.
Az egyik kísérletben egyetlen bit megváltoztatása egy modell súlyában körülbelül 80 százalékról 0,1 százalékra csökkentette egy AI-modell pontosságát.
Ez jól szemléltette az AI-rendszereket fenyegető integritási kockázatot még akkor is, amikor a támadó nem szerez teljes irányítást a GPU vagy a gazdarendszer felett.
A GPUHammer azonban viszonylag kevés bitátfordulást tudott előidézni. Az NVIDIA ezért támogatott termékein a rendszerszintű ECC engedélyezését javasolta.
Az ECC képes érzékelni a védett memóriában bekövetkező hibákat, és az érintett bitek számától és elhelyezkedésétől függően kijavítani vagy jelenteni azokat.
Bővebben: NVIDIA 2025. júliusi Rowhammer biztonsági közleménye
A GPUThor drámaian megnöveli az előidézett hibák számát és sűrűségét.
A kutatók szerint kikapcsolt ECC mellett a támadás körülbelül 72 000 és 377 000 közötti bitátfordulást eredményezett minden tesztelt gigabájtnyi memória esetében.
A legmagasabb értéket az RTX A5000-en mérték, amely körülbelül 377 552 bitátfordulást produkált gigabájtonként.
Az RTX A6000 körülbelül 114 488, az RTX A4500 hozzávetőleg 75 000, az RTX A4000 pedig mintegy 72 000 bitátfordulást eredményezett gigabájtonként.
GPU-tól függően ezek az eredmények 4548–23 597-szer nagyobbak voltak a GPUHammer eredményeinél.
A GPU-s Rowhammer hibaarányok így már közelebb kerültek a hagyományos DDR4 CPU-memórián végrehajtott legerősebb támadásokéhoz.
Az RTX A6000 esetében a kutatók becslése szerint egy kihasználható bitátfordulás megtalálásához szükséges idő a GPUHammerrel mért 21,9 óráról a GPUThor alkalmazásával körülbelül 1,1 percre csökkent.
A nem egyenletes hammering jelenti a kulcsfontosságú áttörést
A korábbi GPU-támadások viszonylag egyenletes hammering mintákat alkalmaztak.
A célzott memóriasor melletti úgynevezett agresszor sort nagyjából ugyanolyan gyakran aktiválták, mint a TRR megtévesztésére használt több decoy, azaz csalétek-sort.
Ez a módszer az elérhető memóriaaktivitás jelentős részét olyan sorokra osztotta el, amelyek közvetlenül nem feleltek a célzott memória megzavarásáért.
A megoldás ugyan segített kijátszani a TRR felismerési mechanizmusát, de korlátozta az áldozati sor környezetében létrehozható elektromos zavar intenzitását.
A GPUThor ehelyett jóval több hozzáférést koncentrál az agresszor sorra, miközben elegendő decoy aktivitást is fenntart ahhoz, hogy a memória védelmi mechanizmusa ne ismerje fel következetesen a mintát.
Ehhez a kutatóknak először figyelembe kellett venniük a GPU-k úgynevezett memória-request coalescing működését.
A GPU-k a nagy számú párhuzamos végrehajtási szálból érkező bizonyos memória-kéréseket a hatékonyság növelése érdekében összevonják.
Ha egy támadó ugyanazt a címet ismételten lekéri, a hardver ezért kevesebb fizikai DRAM-aktiválást végezhet a vártnál, mivel a kéréseket összeolvasztja.
A kutatócsapat részletesen elemezte, hogyan történik a kérések összevonása a GPU-szálak úgynevezett warp csoportjain belül és azok között.
Megállapították, hogy különböző warpokból, ugyanazon fizikai memóriasor különböző cache line-jaira küldött kérések képesek túlélni a coalescing folyamatot, és különálló aktiválásokat eredményeznek.
A kutatók azt is megvizsgálták, milyen gyakran avatkozik be a GDDR6 memória TRR-mechanizmusa.
A korábbi támadásokban feltételezett viselkedéssel ellentétben azt találták, hogy a releváns védelem hozzávetőleg minden 72. frissítési intervallumban egyszer aktiválódik.
A GPUThor egy ehhez igazított, hat intervallumból álló mintát használ.
Öt intervallum során több warp intenzíven az agresszor sort aktiválja, míg a hatodik intervallumot a decoy aktivitásnak tartják fenn azért, hogy a TRR mintavételezési mechanizmusa ne ismerje fel megbízhatóan a támadást.
A módszer körülbelül 110 000 agresszor-sor aktiválást eredményezett egy frissítési ablak alatt, ami körülbelül 6,6-szor nagyobb intenzitás, mint a korábbi egyenletes GPU-hammering mintáknál.
Az eredmény nem pusztán több hiba lett.
Nőtt annak valószínűsége is, hogy ugyanazon kis memóriaterületen belül több bit változzon meg – ez pedig alapvető feltétele a vizsgált ECC-rendszer kijátszásának.
Miért nem állította meg az ECC a GPUThort?
A kutatók által vizsgált NVIDIA GPU-k SECDED szintű hibajavítást alkalmaznak.
Ez a rendszer egyetlen bithiba kijavítására, valamint két bithiba észlelésére képes egy védett memóriablokkon belül.
Az olyan tipikus megbízhatósági hibák ellen, amelyeknél egyetlen memóriacella változtat állapotot, ez hatékony védelmet jelent.
A GPUThor azonban szándékosan olyan körülményeket hoz létre, amelyekben több bit fordulhat át egymáshoz közel.
Bekapcsolt ECC mellett a kutatók 387 kétbites hibát rögzítettek.
A GPU ezeket felismerte, de kijavítani már nem tudta.
A rendszer hibakezelési konfigurációjától függően egy nem javítható memóriahiba a GPU újraindulását vagy leállását válthatja ki annak érdekében, hogy a sérült adatokat ne használja tovább.
Ennél is súlyosabb, hogy a csapat két hárombites hibát is észlelt.
A SECDED ECC bizonyos hárombites hibamintákat tévesen javítható egybites hibának értelmezhet.
Ilyenkor maga a korrekciós folyamat módosíthat egy további bitet, így az eredeti adat helyreállítása helyett helytelen értéket hozhat létre.
Ez lehetőséget teremt az úgynevezett csendes adatkárosodásra, amikor a rendszer hibás információval működik tovább anélkül, hogy javíthatatlan hibát jelezne.
Ez különösen fontos az AI, a tudományos számítások és más magas integritási követelményű környezetek esetében.
Egy látható GPU-reset szolgáltatáskiesést okoz, a csendes korrupció azonban észrevétlenül szennyezheti a számításokat, a tréningadatokat, a modellparamétereket vagy más eredményeket.
Az ECC tehát továbbra is megnehezíti a kihasználást és fontos megbízhatósági védelmi mechanizmus marad.
A GPUThor ugyanakkor azt bizonyítja, hogy a SECDED önmagában nem tekinthető teljes biztonsági határnak a szándékosan előidézett, többbites Rowhammer-hibákkal szemben.
A támadás ismételten összeomlaszt egy ECC-vel védett RTX A6000-et
A kutatók által bemutatott első gyakorlati következmény a szolgáltatásmegtagadás volt.
Egy ECC-vel működő RTX A6000-en a GPUThor körülbelül kétóránként egyszer idézett elő javíthatatlan memóriahibát.
Minden ilyen esemény a GPU resetjét okozta, megszakítva az eszközön futó összes feladatot.
Ez különösen súlyos lehet olyan környezetekben, ahol egyetlen gyorsító hosszú ideig futó AI-tréninget, szimulációt, renderelési feladatot vagy nagy teljesítményű számítást végez.
Egy reset akár többórányi munka elvesztésével járhat, egyszerre több felhasználó tevékenységét szakíthatja meg, és teljes számítási feladatok újraindítását teheti szükségessé.
A következmények ismételt támadás esetén még súlyosabbá váltak.
Az NVIDIA GPU-k képesek a tartós, nem korrigálható hibákhoz kapcsolódó memóriasorokat áthelyezni, azaz remappelni a megbízhatóság fenntartása érdekében.
Ez a kapacitás azonban véges.
A kutatók szerint a folyamatos GPUThor-aktivitás kimerítette a rendelkezésre álló remappelési kapacitást, és az RTX A6000 körülbelül egy nap alatt olyan állapotba került, amelyben a rendszer cserére szorulóként jelölte az eszközt – ezt a kutatók „RMA-ready” állapotként írták le.
Ez a megállapítás a hagyományos szolgáltatásmegtagadáson túl egy lehetséges hardverszabotázs-forgatókönyvet is felvet.
Egy támadó, aki képes nem megbízható munkaterhelést futtatni, ismételten leállíthat egy értékes gyorsítót, és akár azt is elérheti, hogy a felügyeleti rendszer hibásnak minősítse az eszközt.
Fontos ugyanakkor, hogy ez nem feltétlenül jelenti a fizikai GPU végleges megsemmisülését.
A bemutatott támadás az eszköz egészségi állapotának megítélésére használt hibakezelési és javítási állapotot manipulálta.
Egy éles környezet azonban ettől még kivonhatja a GPU-t a szolgáltatásból, ami üzemeltetési kiesést és csereköltséget okozhat.
CUDA-folyamatból root shell
A GPUThor legsúlyosabb bemutatott hatása a jogosultságemelés volt.
A modern GPU-k saját laptáblákat használnak arra, hogy az alkalmazások által használt virtuális címeket fizikai GPU-memóriacímekre fordítsák.
Ezek a laptáblák biztonsági szempontból kritikusak, mivel meghatározzák, hogy egy adott munkaterhelés mely memóriaterületekhez férhet hozzá.
Ha a támadó célzott bitátfordulásokat idéz elő a GPU laptáblabejegyzéseiben, módosíthatja egy virtuális cím fordítását.
Ennek következtében egy olyan memóriakérés, amelynek egy engedélyezett oldalra kellene mutatnia, egy másik fizikai memóriaterületre irányítható át.
A GPUThor kutatói a megnövekedett hibaarányt a korábbi GPUBreach munkájuk során kidolgozott kihasználási technikákkal kombinálták.
Egy rosszindulatú, de kezdetben alacsony jogosultságú CUDA-program megrongálta a GPU laptábláit, majd tetszőleges memóriaelérést szerzett.
Ezt a képességet ezt követően a GPU határán túlra is kiterjesztették, kompromittálva a gazdarendszer CPU-oldalát, végül root shellt és teljes rendszerszintű irányítást szerezve.
A GPUBreach már korábban megmutatta, hogy a GPU-laptáblák korrupciója lehetővé teheti az egyik GPU-folyamat számára egy másik tenant memóriájának olvasását, kriptográfiai titkok kinyerését, GPU gépi kód manipulálását, végül pedig a gazda operációs rendszerének kompromittálását.
A kutatás azt is bemutatta, hogy bizonyos tesztelt körülmények között a támadás az input-output memory management unit, azaz IOMMU által biztosított védelmet is képes megkerülni.
Bővebben: GPUBreach kutatási tanulmány
A GPUThor újdonsága annak bizonyítása, hogy ez a kihasználási osztály akkor is megvalósítható, amikor a GPU rendszerszintű ECC-védelme aktív.
A korábbi GPU Rowhammer-támadások nem tudtak elég nagy arányban többbites hibákat létrehozni ahhoz, hogy átlépjék ezt a védelmi réteget.
A bemutatott támadáshoz ugyanakkor az szükséges, hogy a támadó kódot tudjon futtatni a GPU-n, például egy alacsony jogosultságú CUDA-alkalmazás formájában.
Ez tehát nem olyan távoli támadás, amely pusztán hálózati kapcsolat alapján bármely NVIDIA GPU-t kompromittálhat.
A kockázat elsősorban azokban a környezetekben nő meg, ahol nem megbízható vagy egymásban nem megbízó felhasználók, konténerek, virtuális gépek vagy külső forrásból származó gépi tanulási kódok ugyanazt a fizikai GPU-t használhatják.
A felhős és AI-környezetek jelentik a legnyilvánvalóbb kitettséget
A GPUThor különösen fontos a felhőszolgáltatások számára, mivel a drága gyorsítókat gyakran konszolidálják és megosztják a kihasználtság maximalizálása érdekében.
Ha két, egymásban nem megbízó ügyfél ugyanazon fizikai GPU-n fut, a támadó megszerezheti azt a helyi végrehajtási pozíciót, amely a grafikus memória hammeringjéhez szükséges.
A GPU-laptáblák korrupciója ezután veszélyeztetheti egy másik munkaterhelés bizalmasságát és integritását, vagy utat nyithat a gazdarendszer felé.
A kockázat nem korlátozódik a klasszikus több-bérlős felhőszolgáltatásokra.
A szervezetek egyre gyakrabban töltenek le és futtatnak harmadik féltől származó AI-modelleket, CUDA-kiterjesztéseket, adatfeldolgozó csomagokat és nyílt forráskódú függőségeket belső GPU-szervereiken.
Egy kompromittált dependency vagy rosszindulatú GPU-munkaterhelés potenciálisan biztosíthatja a támadónak a GPUThor végrehajtásához szükséges pozíciót.
Ebben az esetben még egy második tenant jelenlétére sincs szükség: maga a gazdarendszer jogosultságainak megszerzése lehet a támadás célja.
Az AI-munkaterhelések sajátos integritási kockázatokat is teremtenek.
A modell súlyai, tréningállapotok, inference-adatok és végrehajtható GPU-kód egyaránt gyorsítómemóriában lehetnek.
Egy gondosan elhelyezett bitátfordulás módosíthatja egy modell működését vagy számítási eredményeit még akkor is, ha a támadó nem szerez teljes kontrollt a rendszer felett.
A jelenlegi kutatás nem mutatott ki valós támadásokban történő GPUThor-kihasználást.
Laboratóriumi proof-of-concept vizsgálatról van szó, amelyet kiválasztott hardvereken hajtottak végre.
A nyilvános támadási kód kiadását a kutatók az ACM CCS konferenciához időzítik.
A magas hibaarány és a demonstrált root-hozzáférési lánc azonban a GPU Rowhammert jóval közelebb hozza a gyakorlati fenyegetési modellhez azokban a környezetekben, amelyek nem megbízható GPU-kód végrehajtását engedélyezik.
A négy tesztelt GPU-n túli érintettség egyelőre bizonytalan
A kutatók négy GDDR6 memóriát használó Ampere munkaállomás-kártyán erősítették meg a GPUThor bitátfordulásait:
- NVIDIA RTX A4000;
- NVIDIA RTX A4500;
- NVIDIA RTX A5000;
- NVIDIA RTX A6000.
Az eredményeket nem szabad automatikusan úgy értelmezni, hogy minden NVIDIA GPU – vagy minden GDDR memóriát használó GPU – ugyanezzel a módszerrel sebezhető.
A Rowhammer viselkedését több tényező együttese határozza meg:
- az adott kártyában található memóriachipek;
- gyártási sajátosságok;
- platformkialakítás;
- frissítési mechanizmus;
- memóriavezérlő logika;
- firmware-beállítások;
- DRAM-on belüli védelmi technológiák.
Még az azonos modellnév alatt forgalmazott eszközökben is lehetnek eltérő érzékenységű memóriakomponensek.
A csapat más memóriatechnológiákat is tesztelt, köztük GDDR6X, GDDR7 és HBM memóriákat, de a GPUThor jelenlegi mintáival nem sikerült bitátfordulásokat előidézniük.
Ez fontos korlátozás: a kísérletek nem igazolnak működő GPUThor-támadást minden újabb adatközponti vagy fogyasztói NVIDIA terméken.
Ugyanakkor az, hogy egy adott hammering minta nem okozott hibát, nem bizonyítja, hogy az adott technológia immunis.
A különböző memóriagenerációk eltérő belső védelmeket használnak, és jövőbeli kutatások olyan hozzáférési mintákat találhatnak, amelyek képesek megkerülni ezeket.
Az újabb GDDR7 és HBM3 osztályú memóriák rendelkezhetnek on-die ECC-vel is.
Ez bizonyos hibákat még a memóriachipen belül kijavít, mielőtt azok láthatóvá válnának a GPU memóriavezérlője számára.
Ez javítja a megbízhatóságot, de egyben megnehezíti az alapul szolgáló bithibák szoftveres megfigyelését.
A kutatók arra figyelmeztetnek, hogy az on-die ECC önmagában nem feltétlenül akadályozza meg a fizikai bitátfordulásokat, és nem garantál védelmet a gondosan kialakított többbites támadásokkal szemben.
A kutatók más NVIDIA-architektúrákra vonatkozó lehetséges következményeket is értékelték.
Szerintük a SECDED-szintű ECC-t használó szerverosztályú Ampere termékek elméletileg továbbra is érzékenyek lehetnek jogosultságemelési támadásokra, ha a támadó képes a szükséges többbites hibákat előidézni.
Egyes Blackwell termékek fejlettebb megbízhatósági és javítási képességeket tartalmaznak, amelyek jelentősen növelhetik egy támadás idejét és költségét, de ezek sem feltétlenül szüntetik meg magát az alapul szolgáló Rowhammer-jelenséget.
Ezek azonban egyelőre biztonsági elemzések, nem pedig minden termékcsaládon igazolt támadási eredmények.
A legerősebb bizonyíték jelenleg továbbra is a négy közvetlenül tesztelt GDDR6 munkaállomás-GPU-ra vonatkozik.
Az NVIDIA többrétegű védekezést javasol
Az NVIDIA válasza nem egyetlen biztonsági mechanizmusra épül.
A vállalat továbbra is javasolja:
- a rendszerszintű ECC engedélyezését, ahol támogatott;
- az IOMMU vagy DMA-izoláció használatát;
- a GPU hibatelemetriájának figyelését;
- valamint a nem megbízható munkaterhelések végrehajtásának korlátozását.
Bővebben: NVIDIA GPUThor biztonsági közlemény
Az ECC bekapcsolva tartása továbbra is indokolt annak ellenére, hogy a GPUThor képes meghaladni a javítási képességét.
Az ECC növeli a kihasználás nehézségét, kijavítja a hétköznapi egybites hibákat, és olyan telemetriát biztosít, amely segíthet felismerni a tartós hammering aktivitást.
A rendszergazdáknak figyelniük kell:
- a javított hibák számát;
- a javíthatatlan memóriahibákat;
- a memóriasor-remappelési eseményeket;
- a GPU-reseteket;
- valamint az eszköz állapotában bekövetkező hirtelen változásokat.
A korrigált hibák tartós növekedése, majd kétbites hibák megjelenése hardverhibára, környezeti instabilitásra vagy akár szándékos manipulációra is utalhat.
A monitoring azonban önmagában nem teljes megoldás.
A kutatók arra figyelmeztetnek, hogy bizonyos hárombites hibák téves korrekció mellett egyértelmű javíthatatlanhiba-riasztás nélkül is átcsúszhatnak.
A telemetriát ezért munkaterhelés-izolációval és szigorú hozzáférés-szabályozással kell kombinálni.
Az IOMMU-védelmet szintén bekapcsolva kell tartani.
Bár korábbi kutatások bemutattak olyan speciális GPU Rowhammer kihasználási útvonalakat, amelyek képesek megkerülni az IOMMU-t, az továbbra is korlátozza a kompromittált eszközök által használható közvetlen memória-hozzáférési támadásokat, és fontos rétege a gazdarendszer védelmének.
A felhőszolgáltatók számára a kutatók azt javasolják, hogy lehetőség szerint ne osszanak meg egyetlen fizikai GPU-t egymásban nem megbízó tenantok között.
A dedikált eszközhozzárendelés erősebb izolációt biztosít, mint az időosztás vagy a gyorsítón belüli kizárólagos szoftveres szeparáció.
A szervezeteknek ezen felül:
- korlátozniuk kell a CUDA- és egyéb GPU-compute interfészekhez való hozzáférést;
- sandboxban kell futtatniuk a nem megbízható munkaterheléseket;
- ellenőrizniük kell a modellek és függőségek eredetét;
- és kerülniük kell az ismeretlen GPU-kód futtatását olyan rendszereken, amelyek érzékeny adatokat vagy privilegizált host-hozzáférést tartalmaznak.
Hosszabb távon erősebb hardveres védelemre lehet szükség
A GPUThor egy szélesebb problémát is felszínre hoz: a hagyományos megbízhatósági mechanizmusok nem feltétlenül alkalmasak biztonsági kontrollként való használatra.
A SECDED ECC-t elsősorban véletlenszerű memóriahibák kezelésére tervezték.
Nem arra készült, hogy egy támadó szándékosan sűrűn elhelyezkedő, precízen célzott többbites hibákat idézzen elő.
Ahogy a Rowhammer-technikák fejlődnek, egyre fontosabbá válik a megbízhatósági és a biztonsági tervezés közötti különbség.
A Torontói Egyetem kutatói erősebb, többbites hibajavítást – például Chipkill-osztályú megoldásokat – javasolnak az egyik lehetséges védelmi irányként.
Ezek ugyanakkor további memória-kapacitást, sávszélességet, komplexitást és energiafogyasztást igényelnek.
A tesztelt GDDR6 implementáció becslések szerint már jelenleg is a memória kapacitásának körülbelül 6,25 százalékát fordítja SECDED-védelemre.
Alapvetőbb Rowhammer-védelem lehet a memóriasorok aktiválásának egyedi számlálása és olyan fejlettebb refresh-menedzsment, amely pontosabban képes felismerni a gyanús memória-hozzáférési mintákat és reagálni rájuk.
Ezek a megoldások magát a fizikai zavarási mechanizmust próbálják kezelni, nem pedig csak a korrupció bekövetkezése után javítani az adatokat.
Egy valóban átfogó védelem valószínűleg GPU-gyártók, memóriagyártók, felhőszolgáltatók és operációsrendszer-fejlesztők együttműködését igényli majd.
A memóriaszintű védelmeknek fel kell ismerniük a rosszindulatú hozzáférési mintákat, a GPU-vezérlőknek biztonságosan kell kezelniük a hibákat, a szoftveres platformoknak pedig megbízható izolációt kell biztosítaniuk az ugyanazon gyorsítót megosztó munkaterhelések között.
A biztonsági csapatok számára a közvetlen tanulság ennél egyszerűbb:
az ECC-t továbbra is engedélyezni kell, de önmagában már nem tekinthető elegendő védelemnek a GPU Rowhammer-támadásokkal szemben.
A GPUThor megmutatja, hogy egy alacsony jogosultságú GPU-munkaterhelés a fizikai memóriazavarást potenciálisan szolgáltatásmegtagadássá, csendes adatkárosodássá és akár teljes gazdarendszer-kompromittálássá alakíthatja.
Ahogy a GPU-k az AI, a felhős számítástechnika és más kritikus számítási infrastruktúrák közös alapjaivá válnak, a grafikus memória architektúrája is a vállalati támadási felület részévé válik – és ennek megfelelő védelemre van szüksége.
