Der entscheidende Fortschritt gegenüber früheren Arbeiten liegt im nicht-uniformen Hämmern: Die Angreiferzeile direkt neben der Opferzeile wird weit häufiger aktiviert als die Ködersreihen, mit denen die Target-Row-Refresh-Abwehr (TRR) des Speichers überflutet wird. Bisherige GPU-Angriffe aktivierten Angreifer- und Köderzeilen etwa gleich oft.
Die Forscher stellten fest, dass wiederholte Zugriffe innerhalb eines einzelnen Warps – der Gruppe von 32 Threads, die eine GPU im Gleichschritt ausführt – im Speichercontroller zu einer einzigen DRAM-Aktivierung zusammengefasst werden. Zugriffe aus verschiedenen Warps auf unterschiedliche Cache-Zeilen derselben Speicherzeile überleben dagegen als separate Aktivierungen; die Hämmer-Kernel verteilen sie entsprechend. Zudem berichten sie, dass TRR auf diesen GDDR6-Bausteinen wahrscheinlich nur etwa alle 72 Refresh-Intervalle greift statt in jedem Intervall – darum herum bauten sie ein Muster über sechs Intervalle.
Die Ergebnisse fallen drastisch aus: Über die vier Karten hinweg entstanden bei deaktiviertem ECC zwischen 72.000 und 377.000 Bitkipper pro Gigabyte. Am anfälligsten war die RTX A5000 mit 377.552 Kippern pro Gigabyte – das 23.597-Fache der 16 Kipper von GPUHammer und rund das 500-Fache der 758 Kipper, die für GDDRHammer als bislang stärksten GPU-Rowhammer-Angriff gemeldet wurden. Damit liegt die A5000-Rate nahe an den rund 550.000 Kippern pro Gigabyte von Blacksmith, das nicht-uniformes Hämmern auf DDR4 etablierte.
Bei einer Granularität von 16 Byte fanden die Kampagnen ohne ECC 387 Doppelbit- und zwei Dreifachbit-Kipper; 306 der Doppelbit-Fehler sowie beide Dreifachbit-Fehler entfielen auf die A5000. Die auf diesen GPUs eingesetzte SECDED-Fehlerkorrektur korrigiert ein gekipptes Bit und erkennt zwei – drei Bits jedoch korrigiert sie falsch, was zu stiller Datenkorruption (SDC) führt. Auf einer RTX A6000 mit aktiviertem ECC erzeugte eine gehämmerte Bank binnen eines Tages elf erkennbare, nicht korrigierbare Fehler (DUE) und eine SDC – im Schnitt ein DUE alle zwei Stunden. Jeder DUE bricht sämtliche Kernel auf der Karte ab und macht sie bis zum Reset unbrauchbar.
Für die Rechteausweitung griffen die Forscher auf den Exploit-Code ihrer früheren Arbeit GPUBreach zurück: Page Tables werden in eine anfällige Zeile manövriert, die Nachbarzeilen gehämmert, um die Page-Frame-Nummer eines Eintrags zu verfälschen; ein zweiter Kernel greift über den manipulierten Eintrag auf Speicher außerhalb des Prozesses zu. Mit der Dreifachbit-SDC erlangten sie Root auf dem Host bei aktivierter IOMMU, mit einem Doppelbit-DUE gelang die Rechteausweitung auf Systemen mit deaktivierter IOMMU. “Zudem stellen wir fest, dass selbst Doppelbit-DUEs ausnutzbar sind, da DUEs in NVIDIA-GPUs verzögert behandelt werden – zwischen Erkennung und dem Abschuss der GPU bleibt ein Zeitfenster von etwa 10 ms, in dem der Kernel des Angreifers die beschädigten Daten verarbeitet”, so die Forscher.
Auf anderen getesteten NVIDIA-Bausteinen – A10, L4 und L40 mit GDDR6, RTX 4090 mit GDDR6X und A30 mit HBM2e – erzeugten dieselben Muster keine Bitkipper, was die Forscher auf abweichende TRR-Implementierungen zurückführen. A100 und H100 waren nicht Teil der Tests. Server-Ampere-GPUs und neuere verfügen über Error Containment und Dynamic Page Offlining, stützen sich aber weiter auf ECC auf SECDED-Niveau; eine SDC-basierte Eskalation könnte laut den Forschern auch dort funktionieren.
GPUThor wurde am 29. April 2026 an NVIDIA sowie an Google, Microsoft und AWS gemeldet; das Embargo lief bis zum 25. August 2026. Ein vollständiger Fix erfordere stärkere Mehrbit-Fehlerkorrektur und In-DRAM-Abwehr wie Refresh Management oder Per-Row Activation Counting in künftigen GPUs. Der Angriffscode soll am 15. November 2026 zum Auftakt der ACM-Konferenz CCS veröffentlicht werden. The Hacker News bat NVIDIA und die Forscher um Stellungnahme; bis zur Veröffentlichung antwortete keine Seite. “ECC erhöht die Hürde weiterhin und sollte aktiviert bleiben, kann aber nicht mehr als ausreichende Verteidigung gelten”, schreiben die Forscher.