Un usuari d’un servei al núvol amb accés normal a una GPU pot fer oscil·lar el consum d’energia d’un centre de dades de manera tan brusca que posi en perill la xarxa elèctrica. El més sorprenent és que això es pot aconseguir sense necessitat de programari maliciós ni de robar claus d’accés.

Aquesta tècnica, anomenada Bit2Watt, ha estat presentada per investigadors de la Universitat de Zhejiang. L’estudi, que es publicarà a la conferència CHES 2026, combina mesures reals de consum en targetes gràfiques amb simulacions de com aquestes variacions podrien desestabilitzar les infraestructures energètiques.

A diferència dels atacs convencionals, Bit2Watt no requereix prendre el control de sensors ni disposar de credencials. Només cal programar una càrrega de treball que forci el maquinari a comportar-se de manera inestable.

El mètode aprofita que el consum d’una GPU depèn directament dels càlculs que fa: quan treballa al màxim, el consum es dispara, i quan s’atura, cau en picat. Alternant aquests estats ràpidament, s’aconsegueix una oscil·lació d’energia controlada.

Els autors ho formulen com una pregunta contundent: es poden «fer servir com a armes les accions purament computacionals, executades com a càrregues de treball legítimes, per desestabilitzar la infraestructura energètica?» La resta de l’article és la seva resposta.

Dues entrades

L’estudi descriu dos mètodes. El primer, anomenat SWMA, utilitza un codi específic que alterna estats d’alta intensitat amb altres de repòs. En proves amb una targeta RTX 4090, aquest sistema va generar variacions de potència molt més agressives que les de qualsevol electrodomèstic comú.

A les GPU provades, la càrrega de treball sintètica va produir components de potència des d’aproximadament 1,5 kHz fins a 6 kHz, i va assolir un màxim en una RTX 4090, molt per sobre del grapat d’hertzs ​​que produeix una càrrega domèstica oscil·lant com la d’un aire condicionat.

Es va mantenir en GPU de centres de dades com ara l’A100 i la Tesla V100, no només en targetes de joc. El nucli personalitzat i el seu bucle de sondeig ajustat són el tipus de coses que un proveïdor podria aprendre a fer servir l’empremta digital multimèdia.

El segon mètode, LTMA, és més preocupant perquè camufla la manipulació dins de l’entrenament real d’intel·ligència artificial (LLM). Això fa que l’atac sigui molt difícil de detectar, ja que sembla una activitat normal del centre de dades.

El control és més flexible que el de SWMA, limitat per la rapidesa amb què itera el bucle d’entrenament, i les freqüències són més baixes, aproximadament d’1,2 a 3 kHz. Però arriba a una amplitud més gran i es barreja amb el soroll d’entrenament normal, que és exactament el que fa que sigui més difícil de marcar. Cap dels dos mètodes necessita privilegis elevats, perquè un inquilí ja controla els seus propis scripts d’entrenament i programacions de treball.

Tot i que els riscos individuals són baixos, l’impacte és crític si es fa a gran escala. Les simulacions mostren que mil GPU treballant en sintonia podrien desestabilitzar una xarxa local d’1 MW, provocant distorsions elèctriques perilloses i inestabilitat en el sistema.

En la pitjor simulació, la distorsió harmònica total (THD) actual va arribar al 46,8 %, molt per sobre de la guia del 13 % amb què l’article la compara amb la norma IEC 61000-3-12. La relació d’amortiment va caure a -0,27, un valor negatiu que marca un mode inestable, on la malla amplifica una pertorbació en lloc d’esmorteir-la.

L’article porta el model encara més enllà, a una malla de 9.241 barres que s’assembla a la xarxa de transmissió europea, on una pertorbació localitzada equivalent al 2 % de la càrrega del sistema es propaga en cascada a través de 13 etapes i perd aproximadament el 81 % de la càrrega. Aquest nombre acumula les suposicions més dolentes en un model específic, i és una propietat de la simulació, no una previsió de res real.

Aquest pas de bloqueig és la suposició de suport de càrrega optimista per a l’atacant: l’article admet que l’alineació de les transicions de potència en una flota real de GPU al núvol encara és un problema obert. En el seu propi model de 2 kHz, la fluctuació de temps amb una desviació estàndard de 100 microsegons redueix l’amplitud agregada en aproximadament un 20 %, i l’article no afirma que aquesta xifra reflecteixi un núvol típic.

Un atac real necessitaria diverses coses alhora: prou GPU agrupades físicament, una sincronització estreta entre elles, una modulació que sobrevisqui a les etapes de condicionament d’energia del centre de dades i una xarxa les ressonàncies de la qual amplifiquin la freqüència escollida.

Els experiments físics es van dur a terme en bancs de proves controlats i els danys a escala de quadrícula van provenir de la simulació, sense atacar sistemes de producció ni revelar cap fallada de seguretat en cap producte comercial específic.

Quan se li va preguntar fins a quin punt un atacant real de núvol multiinquilí podria arribar a aquest lockstep perfecte, l’autor, Kaikai Pan, va dir a The Hacker News que l’equip no ha dut a terme experiments de sincronització a gran escala en un núvol de producció, i que el cas lockstep és un model del pitjor dels casos destinat a establir un límit superior. Un atacant podria preestablir les càrregues de treball i activar-les contra una referència de temps compartida, va dir, i hi pot haver una certa coherència quan les GPU es troben al mateix clúster o domini elèctric.

Però la sincronització de rellotges no és el mateix que el consum simultani d’energia: la virtualització, la fluctuació de la programació, la interferència d’altres usuaris i la variabilitat simple entre dispositius afegeixen incertesa temporal. L’efecte, en les seves paraules, és que els errors de sincronització «redueixen l’eficiència de l’atac en lloc de crear un límit estricte d’èxit o fracàs», de manera que un atacant real probablement necessitaria més GPU o una millor ubicació física per coincidir amb el cas de sincronització completa. Pan va afegir que establir quina sincronització es pot aconseguir entre centenars o milers de GPU al núvol és feina per al futur.

Els investigadors han aclarit que no han provat aquest mètode en sistemes de producció reals ni han revelat la troballa a proveïdors abans de publicar l’estudi. El seu objectiu és fomentar la col·laboració amb la indústria per trobar solucions abans que algú n’abusi.

El que impedeix que sigui purament acadèmic és que els efectes físics ja estan registrats. L’agost de 2025, Microsoft, OpenAI i NVIDIA van publicar el seu propi document sobre l’estabilització de la potència d’entrenament de la IA, van advertir que les oscil·lacions sincronitzades de grans feines d’entrenament poden, quan la seva freqüència s’alinea amb les freqüències crítiques d’una empresa de serveis públics, «provocar danys físics a la infraestructura de la xarxa elèctrica.»

Bit2Watt agafa aquest efecte accidental i pregunta què en podria fer un inquilí deliberadament.

La xarxa elèctrica també ha tingut un ensurt a causa del mal comportament accidental dels centres de dades. El juliol de 2024, una avaria en una línia de transmissió en una zona del nord de Virgínia amb una alta concentració de centres de dades va provocar que aproximadament 1.500 MW de demanda elèctrica dels centres de dades es desconnectessin de la xarxa de cop, quan els sistemes de protecció de les mateixes instal·lacions els van commutar automàticament a l’alimentació de reserva.

El NERC, que supervisa la fiabilitat de la xarxa elèctrica nord-americana, va dir que la pertorbació no representava cap risc per a la fiabilitat en aquell moment, tot i que els operadors sí que havien de corregir el voltatge. Va advertir que el perill creix a mesura que aquestes càrregues augmenten, i el seu comitè tècnic va establir més tard, el 2024, un Grup de Treball de Càrregues Grans per estudiar-les.

Ningú va atacar res; els centres de dades es van protegir sols. La qüestió no és que la xarxa gairebé fallés, sinó que una càrrega d’aquesta mida pot disminuir en un instant, més ràpid del que els operadors poden planificar, i el risc augmenta a mesura que aquestes flotes creixen.

El bucle es tanca amb el que els autors anomenen Watt2Bit, la pertorbació que es retroalimenta al costat de la computació. L’anàlisi de l’article mostra com l’escalfament impulsat per harmònics i el corrent elevat podrien activar la protecció tèrmica o de sobrecorrent i apagar els servidors GPU, i podrien convertir un problema de qualitat de l’energia en una denegació de servei.

I encara pot arribar a ser més estrany el fet que la mateixa modulació també funcioni com a canal encobert. Si es codifiquen bits com a dues freqüències, 2 kHz per a un 1 i 200 Hz per a un 0, l’equip va capturar les emissions electromagnètiques en una antena de camp proper connectada a una ràdio definida per programari i va recuperar una seqüència de prova de 50 bits amb zero errors.

És un parent proper de PowerHammer, l’atac d’exfiltració de dades per espai d’aire que THN va cobrir el 2018, amb una distinció: PowerHammer llegia dades conduïdes al llarg de la línia elèctrica, interceptades a qualsevol lloc des de la presa de corrent fins al quadre elèctric de l’edifici, mentre que el canal de Bit2Watt necessita una antena que capti les EMI de camp proper directament al maquinari.

Cap dels dos arriba a Internet; tots dos necessiten un punt de suport físic a prop de la presa de corrent o de la màquina.

No cal apedaçar cap error

La telemetria estàndard amb prou feines ho detecta. Els comptadors de PDU de rack mostregen un cop per segon, la telemetria NVML d’NVIDIA a 450 Hz i fins i tot les interfícies comunes més ràpides, RAPL i BMC de servidor, arriben a un màxim de prop d’1 kHz, mentre que la modulació funciona diverses vegades més alt.

Un detector lleuger que els investigadors van construir sobre la base de dades de potència i NVML va tenir un rendiment deficient; afegir funcions de perfilat de GPU el va millorar i la detecció d’EMI dedicada va funcionar millor. L’LTMA va ser constantment més difícil de detectar que l’SWMA. Aquests resultats provenen d’un detector de nivell de recerca, no dels sistemes propietaris que podria executar un gran proveïdor de núvol, per la qual cosa no demostren que un hiperescalador el passaria per alt.

En definitiva, el repte no és corregir un error puntual, sinó revisar l’arquitectura dels sistemes actuals. La falta de coordinació entre els qui gestionen la computació i els qui supervisen la xarxa elèctrica crea una bretxa de seguretat que cal tancar.

L’article ofereix defenses per a ambdues parts alhora: bateries, supercondensadors i filtratge harmònic al costat de l’alimentació; detecció d’anomalies en la utilització de la GPU i els programes d’entrenament al costat de la computació. Emmarca un únic sistema que uneix les dues com a treball futur.

El costat de computació i el costat de la xarxa són gestionats per empreses diferents, supervisats per eines diferents, i cap dels dos està dissenyat per vigilar l’altre. Aquesta fissura és on viu Bit2Watt, i ara mateix no té propietari.