Облачен потребител, използващ само обикновен достъп до графични процесори (GPU), може да повишава и понижава консумацията на енергия в център за данни достатъчно бързо, за да застраши захранващата мрежа, към която е свързан – без използване на експлойт и без пробив в сигурността.

Това твърдят трима изследователи от Университета Джъдзян в научен доклад, приет на конференцията по хардуерна сигурност CHES 2026 на IACR. Доказателствата им са разделени на две части: измерване на модулацията на мощността при реални графични процесори и симулиране на дестабилизацията на електропреносната мрежа, която тя може да предизвика.

Техниката обръща обичайния модел на атака срещу електропреносни мрежи: без компрометирани сензори, без зловреден код в средите за управление, без откраднати идентификационни данни на оператори – единствено работен товар, проектиран умишлено да не се държи коректно.

Методът работи, тъй като консумацията на енергия от графичния процесор следва изчисленията, които той извършва. Натоварването на тензорните ядра води до скокове в тока, а преминаването в режим на празен ход води до рязък спад. Периодичното превключване между тези състояния води до контролируеми колебания в захранването при контакта.

Авторите поставят директния въпрос: могат ли „чисто изчислителни действия, изпълнявани като легитимни работни товари, да бъдат използвани като оръжие за дестабилизиране на енергийната инфраструктура“? Останалата част от доклада съдържа техния отговор.

Първият метод, наречен SWMA, качва специално разработено CUDA ядро (kernel), което превключва между режим на интензивни изчисления и режим, близък до празен ход. Контролер от страна на хоста задава графика на превключване чрез единен флаг в споделената памет, алокиран с cudaMallocManaged – стандартен инструмент, вместо някаква екзотична техника.

При тестваните графични процесори синтетичният работен товар генерира компоненти на мощността с честота от около 1,5 kHz до 6 kHz, с пик при RTX 4090 – значително над колебанията от няколко херца, произвеждани от битови уреди като климатици.

Ефектът се наблюдава и при корпоративни графични процесори за центрове за данни като A100 и Tesla V100, а не само при геймърски карти. Персонализираното ядро и неговият стриктен цикъл на запитване (polling loop) са от типа характеристики, за които доставчиците биха могли да се научат да създават сигнатури за засичане.

Вторият метод, LTMA, е този, който трябва да притеснява операторите. Вместо синтетично ядро, той скрива модулацията вътре в реален процес на обучение на голям езиков модел (LLM), като коригира хиперпараметрите и вмъква спомагателни операции, каращи изчислителния товар да се покачва и спада, без да прекъсва обучението.

Контролът тук е по-слаб от този при SWMA и е ограничен от скоростта на цикъла на обучение, а честотите са по-ниски – приблизително 1,2 до 3 kHz. Методът обаче достига по-голяма амплитуда и се слива с нормалния шум при обучение, което прави засичането му изключително трудно. Нито един от двата метода не изисква повишени привилегии, тъй като потребителят вече управлява собствените си скриптове за обучение и графици на задачи.

Това са данни за единичен графичен процесор и те имат сериозен ефект само при масово прилагане. Докладът моделира масовия случай в най-опасния му вариант: симулирана локална мрежа с мощност 1 MW, 90% захранвана от разпределени енергийни ресурси (покривни слънчеви панели и батерии), с 1000 графични процесора, модулиращи в перфектен синхрон.

При тази симулация на най-лошия сценарий тоталното хармонично изкривяване (THD) на тока достига 46,8%, което е далеч над референтната стойност от 13% съгласно стандарта IEC 61000-3-12. коефициентът на затихване пада до -0,27 – отрицателна стойност, която сигнализира за нестабилен режим, при който мрежата усилва смущението, вместо да го затихва.

Докладът отива още по-далеч, симулирайки мрежа с 9241 шини, наподобяваща европейската преносна мрежа, където локализирано смущение, равняващо се на 2% от системния товар, каскадира през 13 етапа и срива около 81% от товара. Това число обаче е резултат от симулация при най-лошите възможни предположения, а не реална прогноза.

Именно синхронът е ключовото предположение в полза на атакуващия: авторите признават, да синхронизират енергийните преходи в реален парк от облачни графични процесори все още е отвореен проблем. При техния 2 kHz модел, отклонение във времето (jitter) със стандартно отклонение от 100 микросекунди намалява общата амплитуда с около 20%.

Реална атака би изисквала съвпадението на няколко фактора едновременно: достатъчен брой физически групирани графични процесори, точна синхронизация между тях, модулация, която да премине през етапите на филтриране и стабилизиране на захранването в центъра за данни, и мрежа, чиито резонанси случайно усилват избраната честота.

Физическите експерименти са проведени в контролирани тестови среди, а щетите от мащаба на мрежата са получени чрез симулация. Не са атакувани реални производствени системи и не са разкрити уязвимости в конкретни комерсиални продукти.

Това, което прави концепцията нещо повече от академично упражнение, е фактът, че физичните принципи вече са потвърдени на практика. През август 2025 г. Microsoft, OpenAI и NVIDIA публикуваха съвместен доклад за стабилизирането на захранването при обучение на AI модели, предупреждавайки, че синхронизираните колебания при големи задачи за обучение могат да „предизвикат физическа повреда на инфраструктурата на електропреносната мрежа“, когато честотата им съвпадне с критичните честоти на мрежата.

Bit2Watt взема този случаен ефект и изследва докъде може да стигне злонамерен субект при целенасоченото му използване.