GPUThor rompe la corrección de errores que Nvidia recomendaba contra Rowhammer

El año pasado, Nvidia recomendó a los propietarios de GPUs preocupados por Rowhammer activar la corrección de errores (ECC). Cuatro investigadores de la Universidad de Toronto han demostrado que esa medida ya no basta. Su técnica, GPUThor, es el primer ataque Rowhammer que vence la protección ECC en tarjetas gráficas de Nvidia y consigue escalar a una shell de root en el sistema host desde un programa CUDA sin privilegios, con ECC habilitado. Los afectados son cuatro modelos de la generación Ampere para estaciones de trabajo: RTX A4000, A4500, A5000 y A6000.

Rowhammer es un fallo de la memoria DRAM que permite alterar bits en filas adyacentes golpeando repetidamente una fila de celdas. En CPUs ha sido durante una década la vía favorita para escapar de sandboxes y escalar privilegios. El mismo grupo de investigación ya había trasladado el ataque a GPUs con GPUHammer en 2025 y GPUBreach este año, pero ambos quedaban neutralizados cuando se activaba ECC: producían entre decenas y cientos de flips por gigabyte, y la corrección podía arreglar un bit y detectar dos. GPUThor cambia las reglas.

Cómo supera GPUThor la corrección

Los ataques anteriores golpeaban uniformemente, repartiendo el esfuerzo entre filas señuelo para esquivar la protección Target Row Refresh (TRR). GPUThor usa patrones no uniformes, algo ya habitual en CPUs pero que nadie había logrado en GPUs. El equipo invirtió el diseño de la memoria y encontró que los accesos desde distintos warps a diferentes líneas de caché de la misma fila sobreviven como activaciones separadas, evadiendo la fusión de peticiones que antes colapsaba el martilleo. Además, determinaron que el TRR en Ampere con GDDR6 se dispara aproximadamente cada 72 intervalos de refresco, no uno por intervalo, y sincronizaron sus patrones con ese calendario. El resultado: 6,6 veces más intensidad de martilleo que los ataques previos y entre 500 y 23.500 veces más flips de bits. Con ECC desactivado, una A5000 registró 377.000 flips por gigabyte, comparable a Blacksmith, el ataque de CPU más potente. La escalada a root que con GPUHammer tardaba 21,9 horas, con GPUThor se completa en 1,1 minutos. Con ECC activado, los flips llegan más rápido de lo que la corrección puede procesar: observaron 387 errores de doble bit que ECC detecta pero no corrige, y dos errores de triple bit que corrige silenciosamente al valor equivocado.

Qué se puede hacer ahora

El ataque abre tres vías. La primera es denegación de servicio: en una A6000 con ECC, GPUThor fuerza un reinicio de la GPU cada dos horas, matando todos los trabajos, y al cabo de un día la tarjeta se declara defectuosa y pide reemplazo. La segunda es toma de control: corrompiendo las tablas de páginas de la GPU, un programa no privilegiado obtiene acceso de lectura y escritura a toda la memoria y abre una shell de root en el host. La tercera es corrupción silenciosa: un error de triple bit mal corregido no deja rastro; en una tarjeta entrenando o sirviendo un modelo, eso significa un peso incorrecto que nadie encontrará.

Las cuatro tarjetas confirmadas son habituales en estaciones de trabajo de IA y en instancias de nube. Nvidia asegura que no ha visto flips en GDDR6X, HBM2e, HBM ni GDDR7, pero el paper indica que la escalada podría funcionar en las A100 de servidor, que usan la misma clase de corrección. La corrección de errores de Blackwell retrasa el ataque, no lo detiene. El escenario crítico es una GPU compartida entre varios inquilinos, algo común en servicios de IA en la nube: un atacante en la misma tarjeta puede corromper datos del vecino o tumbar la GPU. El problema es real incluso para GPU exclusivas si ejecutan código no confiable, que es el caso habitual: modelos descargados, paquetes de entrenamiento o agentes con sandbox corren en la tarjeta.

Nvidia recomendó el 21 de agosto activar ECC y aislamiento IOMMU, monitorizar la telemetría de errores y restringir cargas no fiables. El aviso de seguridad está publicado. Los investigadores añaden: no compartir una GPU física entre inquilinos que no se fíen unos de otros y tratar un pico de errores corregidos como un ataque en curso. Ese consejo choca con la economía de las neoclouds, que venden tiempo de GPU compartida por horas. Aislar a cada inquilino encarece el servicio justo cuando la capacidad a corto plazo ya cuesta el doble.

El código de GPUThor no se hará público hasta el 15 de noviembre. Hasta entonces no hay parche, y los autores dicen que no puede haberlo sin hardware nuevo. Mientras tanto, conviene revisar qué GPUs se usan en entornos compartidos y qué cargas se les confían.