La nuova tecnica di attacco Rowhammer GPUThor, sviluppata dall'Università di Toronto, riesce a superare le difese ECC delle GPU NVIDIA Ampere, consentendo escalation di privilegi fino a root e interruzioni di servizio su sistemi AI e cloud. NVIDIA pubblica raccomandazioni di sicurezza.
Un gruppo di ricercatori dell'Università di Toronto ha presentato GPUThor, un nuovo attacco Rowhammer in grado di eludere le protezioni ECC (Error-Correcting Code) sulle GPU NVIDIA Ampere con memoria GDDR6, tra cui RTX A4000, RTX A4500, RTX A5000 e RTX A6000, molto diffuse in ambito AI e cloud. GPUThor si distingue per la capacità di generare tassi di bit-flip molto più elevati rispetto ai precedenti attacchi come GPUHammer e GPUBreach, ormai inefficaci dopo l'introduzione dell'ECC.
Come funziona GPUThor e perché è più efficace
Rowhammer è una tecnica che sfrutta l'accesso ripetuto a specifiche righe di memoria per indurre cambiamenti di stato nei bit delle celle adiacenti, causando corruzione dei dati e potenziali falle di sicurezza. Le GPU NVIDIA utilizzano la protezione SECDED ECC per correggere errori singoli e rilevare quelli doppi, ma GPUThor adotta uno schema di hammering non uniforme che evita l'attivazione delle contromisure Target Row Refresh (TRR) della GDDR6.
Gli autori hanno sfruttato due comportamenti non documentati delle GPU: la coalescenza delle richieste di memoria e la frequenza di attivazione del TRR. Questo ha permesso di ottenere fino a 377.000 bit-flip per GB senza ECC, valori fino a 23.597 volte superiori a GPUHammer e comparabili agli attacchi Rowhammer più avanzati su CPU. Con ECC attivo, GPUThor ha generato centinaia di errori a doppio e triplo bit, che l'ECC non è in grado di correggere, portando a corruzione dei dati.
Impatto: denial-of-service e escalation a root
Durante i test, GPUThor ha causato il reset periodico di una RTX A6000 con ECC abilitato, interrompendo tutti i carichi di lavoro ogni due ore e portando la scheda a segnalare la necessità di sostituzione dopo ripetuti attacchi. Ancora più grave, i ricercatori hanno dimostrato che è possibile ottenere l'accesso root sul sistema host corrompendo le page table della GPU tramite un programma CUDA non privilegiato.
Modelli vulnerabili e raccomandazioni di sicurezza
Oltre ai modelli workstation testati, anche le GPU server Ampere (come A100) restano vulnerabili all'escalation di privilegi, poiché si affidano ancora a ECC di tipo SECDED. Sulle GPU Blackwell, la funzione RAS Repair rallenta l'attacco ma non lo impedisce. Secondo lo studio, anche le future GPU con HBM3/e e GDDR7 potrebbero essere a rischio se si verificano flip multipli. NVIDIA, informata il 29 aprile, ha pubblicato un avviso il 21 agosto raccomandando di abilitare SYS-ECC e IOMMU/DMA isolation, monitorare la telemetria degli errori e limitare l'esecuzione di workload non affidabili. La società precisa che il rischio dipende da DRAM, tecnologia, design e difese in-DRAM, e che su GDDR6X e HBM2e non sono stati osservati bit-flip con gli stessi pattern.
I ricercatori suggeriscono di evitare la condivisione cross-tenant delle GPU, monitorare i contatori ECC e limitare i workload CUDA non affidabili. La protezione completa richiederà probabilmente ECC multi-bit più robusto e difese hardware dedicate nelle future generazioni di GPU.
Il contesto della sicurezza hardware
L'emergere di attacchi come GPUThor evidenzia la crescente importanza della sicurezza hardware nei data center AI e cloud. Anche altre piattaforme sono state colpite da vulnerabilità critiche che richiedono aggiornamenti tempestivi, come segnalato di recente per NetScaler Gateway e ADC: Citrix ha invitato gli amministratori a intervenire subito per correggere falle di sicurezza, sottolineando la necessità di una vigilanza costante su tutti i livelli dell'infrastruttura.
