Die erste Methode, SWMA, lädt einen eigens gebauten CUDA-Kernel hoch, der zwischen einem rechenintensiven und einem nahezu untätigen Modus wechselt. Ein Steuerprogramm auf der Host-Seite gibt den Schaltplan vor und kippt den Modus über ein einzelnes Flag im Unified Memory, angelegt mit cudaMallocManaged – Standardwerkzeug statt Exotik. Über die getesteten GPUs hinweg erzeugte die synthetische Last Leistungsanteile von etwa 1,5 kHz bis 6 kHz, mit Spitzenwert auf einer RTX 4090. Zum Vergleich: Eine schwankende Haushaltslast wie eine Klimaanlage bewegt sich im Bereich einiger Hertz. Der Effekt trat nicht nur auf Spielkarten auf, sondern auch auf Rechenzentrums-GPUs wie A100 und Tesla V100. Kernel und enge Abfrageschleife sind allerdings Muster, die ein Anbieter erkennen lernen könnte.
Die zweite Variante, LTMA, ist die unangenehmere. Sie versteckt die Modulation in einem echten LLM-Trainingslauf, indem Hyperparameter angepasst und zusätzliche Operationen eingefügt werden, sodass die Rechenlast steigt und fällt, ohne das Training zu zerstören. Die Steuerung ist gröber, begrenzt durch die Iterationsrate der Trainingsschleife, die Frequenzen liegen niedriger bei etwa 1,2 bis 3 kHz. Dafür erreicht LTMA größere Amplituden und geht im normalen Trainingsrauschen unter. Erhöhte Rechte braucht keine der beiden Methoden – ein Mandant kontrolliert seine Trainingsskripte und Zeitpläne ohnehin selbst.
Wirksam werden die Einzelwerte erst in der Masse. Das Papier modelliert ein simuliertes 1-MW-Lokalnetz, zu 90 Prozent aus dezentralen Erzeugern wie Dach-Photovoltaik und Batterien versorgt, mit 1.000 GPUs im exakten Gleichtakt. In diesem Extremfall erreichte die Gesamtoberschwingungsverzerrung des Stroms (THD) 46,8 Prozent – deutlich über dem Richtwert von 13 Prozent aus IEC 61000-3-12, den die Autoren als Maßstab nehmen. Das Dämpfungsverhältnis fiel auf −0,27, ein negativer Wert, der einen instabilen Modus kennzeichnet: Das Netz verstärkt die Störung, statt sie abzubauen. In einem weiteren Modell mit 9.241 Knoten, das dem europäischen Übertragungsnetz nachempfunden ist, kaskadiert eine lokale Störung von zwei Prozent der Systemlast über 13 Stufen und führt zum Verlust von rund 81 Prozent der Last – eine Eigenschaft der Simulation, keine Prognose.
Der Gleichtakt ist die tragende und für Angreifer günstigste Annahme. Das Papier räumt ein, dass die Synchronisierung der Leistungswechsel über eine reale Cloud-GPU-Flotte ein offenes Problem bleibt: Im eigenen 2-kHz-Modell senkte ein Zeitjitter mit 100 Mikrosekunden Standardabweichung die Gesamtamplitude um etwa 20 Prozent. Ein realer Angriff bräuchte genügend physisch benachbarte GPUs, enge Synchronisierung, eine Modulation, die die Stromaufbereitung des Rechenzentrums übersteht, und ein Netz, dessen Resonanzen die gewählte Frequenz verstärken.
Dass die Physik nicht rein akademisch ist, belegen die Autoren mit einem Papier von Microsoft, OpenAI und NVIDIA vom August 2025 zur Stabilisierung von KI-Trainingsleistung: Synchronisierte Lastschwankungen großer Trainingsjobs könnten, wenn ihre Frequenz mit kritischen Frequenzen eines Versorgers zusammenfällt, „physische Schäden an der Infrastruktur des Stromnetzes verursachen”. Hinzu kommt ein Vorfall vom Juli 2024, als ein Netzfehler in einer rechenzentrumsdichten Region Nordvirginias rund 1.500 MW Rechenzentrumslast auf einen Schlag vom Netz nahm, weil die Schutzsysteme der Anlagen auf Notstrom umschalteten. Die nordamerikanische Zuverlässigkeitsorganisation NERC sah damals kein Zuverlässigkeitsrisiko, Betreiber mussten aber die Spannung korrigieren; NERC warnte vor wachsender Gefahr durch skalierende Lasten und richtete später im Jahr 2024 eine Large Loads Task Force ein.
Die Rückrichtung nennen die Autoren Watt2Bit: Oberschwingungsbedingte Erwärmung und erhöhte Ströme könnten Thermo- oder Überstromschutz auslösen und GPU-Server abschalten – aus einem Netzqualitätsproblem wird ein Denial of Service. Dieselbe Modulation taugt zudem als verdeckter Kanal: Kodiert mit 2 kHz für eine Eins und 200 Hz für eine Null, fing das Team die elektromagnetische Abstrahlung mit einer Nahfeldantenne an einem Software-Defined Radio auf und rekonstruierte eine 50-Bit-Testsequenz fehlerfrei. Anders als beim 2018 von THN behandelten PowerHammer, der Daten entlang der Stromleitung auslas, braucht Bit2Watt eine Antenne direkt an der Hardware.
Übliche Telemetrie greift kaum: Rack-PDU-Zähler messen einmal pro Sekunde, NVIDIAs NVML mit 450 Hz, selbst RAPL und Server-BMCs enden bei rund 1 kHz – die Modulation läuft ein Mehrfaches darüber. Ein forschungsnaher Detektor der Autoren schnitt auf Leistungs- und NVML-Daten schlecht ab, wurde mit GPU-Profiling-Merkmalen besser und funktionierte mit dedizierter EMI-Messung am besten; LTMA war durchgehend schwerer zu erkennen als SWMA. Zu patchen gibt es nichts, denn die Exposition ist die Architektur selbst: die enge Kopplung von volatiler GPU-Last und einem umrichterdominierten Netz. Als Gegenmaßnahmen nennt das Papier Batterien, Superkondensatoren und Oberschwingungsfilter auf der Stromseite sowie Anomalieerkennung bei GPU-Auslastung und Trainingsplänen auf der Rechenseite; ein System, das beides verbindet, bleibt künftige Arbeit. The Hacker News hat die Forscher um eine Stellungnahme zur Skalierbarkeit in realen Cloud-Umgebungen gebeten.