Die neue Angriffsmethode GPUBreach stellt eine erhebliche Bedrohung für die Sicherheit moderner Computersysteme dar. Das Forscherteam der Universität Toronto zeigt, dass durch gezielte Rowhammer-Angriffe auf GPU-Speicher Bit-Flips in GPU-Seitentabellen (Page Table Entries) verursacht werden können. Dies ermöglicht es einem unprivilegierten CUDA-Kernel, beliebigen GPU-Speicher zu lesen und zu schreiben.
Das Kernproblem liegt in der Verkettung dieser GPU-seitigen Privilege-Escalation mit CPU-seitigen Angriffen. Indem die Forscher Speichersicherheitslücken im NVIDIA-Treiber ausnutzten, gelang es ihnen, von der GPU-Ebene bis zur CPU-Ebene zu eskalieren und letztendlich Root-Zugriff auf das gesamte System zu erlangen.
Besonders alarmierend ist die Tatsache, dass GPUBreach selbst dann funktioniert, wenn die Input-Output Memory Management Unit (IOMMU) aktiviert ist. Die IOMMU ist eine Hardware-Schutzeinheit, die normalerweise Direct-Memory-Access-Angriffe (DMA-Angriffe) verhindert, indem sie kontrolliert, auf welche Speicherbereiche Geräte zugreifen dürfen. Bisherige Sicherheitsmaßnahmen bauten auf dieser Komponente auf – nun zeigt sich, dass diese Annahme fehlerhaft war.
Die Demonstration erfolgte mit einer NVIDIA RTX A6000, einem Modell, das häufig in KI-Entwicklung und Trainingsworkloads eingesetzt wird. Dies unterstreicht die praktische Relevanz für Forschungsinstitutionen und kommerzielle KI-Anwendungen.
Die Universität Toronto informierte NVIDIA, Google, AWS und Microsoft am 11. November 2025 über ihre Erkenntnisse. Google anerkannte das Sicherheitsproblem und verga eine Bug-Bounty von 600 Dollar an die Forscher. NVIDIA kündigte an, möglicherweise seine bestehende Sicherheitsmitteilung vom Juli 2025 zu aktualisieren.
Als mögliche Mitigation nennen die Forscher Error-Correcting-Code-Speicher (ECC), der Einbit-Flips korrigieren und Zweibit-Flips erkennen kann – allerdings bietet auch ECC keinen zuverlässigen Schutz gegen Mehrbit-Flips. Für Consumer-GPUs ohne ECC bleibt GPUBreach derzeit vollständig ungemindert.
Die vollständigen Details, einschließlich eines technischen Papers und eines GitHub-Repositories mit Reproduktionsskripten, werden am 13. April 2026 auf dem IEEE Symposium on Security & Privacy in Oakland veröffentlicht.