NVIDIA setzt gegen derartige Angriffe unter anderem SECDED-ECC ein, das Einzelbitfehler korrigiert und Doppelbitfehler in den überwachten Speicherblöcken erkennt. GPUThor unterläuft diesen Schutz, indem das Hämmern einem ungleichmäßigen Muster folgt und mit einer Rate arbeitet, die die Target-Row-Refresh-Gegenmaßnahmen (TRR) von GDDR6 nicht auslöst.
Möglich wurde das laut den Forschern durch die Berücksichtigung zweier undokumentierter GPU-Verhaltensweisen: der Art, wie wiederholte Speicheranfragen zusammengefasst werden, und der Häufigkeit, mit der TRR aktiv wird. Im Ergebnis erzeugt der Angriff 6,6-mal mehr Aktivierungen der Angreiferzeilen als frühere Konzepte.
Ohne ECC-Schutz erreichten die Forscher auf den getesteten Karten zwischen 72.000 und 377.000 Bit-Flips pro Gigabyte — das ist 4.548- bis 23.597-mal mehr als mit ihrem eigenen Vorgänger GPUHammer und liegt damit in der Größenordnung leistungsfähiger CPU-Rowhammer-Angriffe wie Blacksmith. Praktisch bedeutet das: Ein ausnutzbarer Bit-Flip lässt sich in rund 1,1 Minuten finden, statt in 21,9 Stunden wie bei GPUHammer.
Auch mit aktivierter Fehlerkorrektur bleibt der Angriff wirksam. Laut der Arbeit erzeugte GPUThor 387 Doppelbitfehler, die ECC erkennt, aber nicht korrigieren kann, sowie zwei Dreibitfehler, die ECC falsch reparierte — mit Datenkorruption als Folge.
Auf einer RTX A6000 mit aktiviertem ECC konnten die Forscher einen Denial-of-Service-Zustand herbeiführen: Die GPU setzte sich alle zwei Stunden zurück und beendete dabei alle laufenden Arbeitslasten. Bei wiederholten Angriffen auf dieselbe Karte markiert sich das Gerät schließlich selbst als austauschbedürftig.
Der gravierendere Fall ist die Rechteausweitung. Durch Manipulation der GPU-Page-Tables soll ein unprivilegiertes CUDA-Programm beliebigen Speicherzugriff erhalten und auf dem Host-System eine Root-Shell öffnen können.
Über die vier bestätigten Modelle hinaus halten die Forscher eine Privilegieneskalation auch auf Server-Ampere-GPUs wie der A100 für möglich, da diese weiterhin auf ECC der SECDED-Klasse setzen — Einschränkungen dort erhöhen lediglich die Widerstandsfähigkeit gegen DoS. Bei einigen Blackwell-GPUs macht die Resilienzfunktion RAS Repair den Angriff zeitaufwendiger, verhindert ihn aber nicht. Selbst GPUs mit HBM3/e- oder GDDR7-Speicher und On-Die-ECC könnten dem Papier zufolge angreifbar sein, wenn Multi-Bit-Flips ausgelöst werden.
NVIDIA empfiehlt in seinem Advisory, sowohl SYS-ECC als auch IOMMU/DMA-Isolation zu aktivieren, die Fehlertelemetrie der GPU zu überwachen und das Teilen oder Ausführen nicht vertrauenswürdiger Arbeitslasten einzuschränken. Das Risiko hänge vom jeweiligen DRAM-Baustein, der Speichertechnologie, dem Plattformdesign, den DRAM-internen Schutzmechanismen und der Systemkonfiguration ab; bei den getesteten GDDR6X- und HBM2e-GPUs seien mit denselben Angriffsmustern keine Bit-Flips beobachtet worden.
Die Forscher raten dazu, GPU-Sharing über Mandantengrenzen hinweg möglichst zu vermeiden, ECC-Fehlerzähler zu überwachen und nicht vertrauenswürdige CUDA-Arbeitslasten zu beschränken. Ein vollständiger Schutz werde voraussichtlich stärkere Multi-Bit-ECC-Verfahren und Hardware-Abwehrmechanismen in künftigen GPUs erfordern.