GPUHammer: ataque Rowhammer que hace que las precisión de las GPU en IA baje de un 80% a un 0,1%

Las vulnerabilidades de seguridad afectan a todo tipo de programas y también se aplican al hardware. Las brechas de seguridad pueden ocurrir en todas partes y hay que estar pendiente para saber cuando ocurre y que hacer al respecto. Estas vulnerabilidades se pueden corregir, pero normalmente se llega tarde y todo se descubre tiempo después. Esta vez tenemos un ataque Rowhammer llamado GPUHammer que lo que hace es que la precisión baje drásticamente al usar GPU en IA.

A lo largo de los años, hemos visto todo tipo de vulnerabilidades que han dejado a empresas enteras desprotegidas debido a que afectaban a los programas que usaban o al sistema operativo, siendo esto bastante habitual. De hecho, ha habido informes de seguridad que han listado decenas de vulnerabilidades descubiertas en un par de meses y normalmente se enlaza un sistema operativo con procesadores AMD o Intel, pues en Apple casi no hay brechas de seguridad en comparación y en Linux también muchas menos que en Windows.

GPUHammer es un ataque Rowhammer que deja altera los bits de memoria de las GPU y baja la precisión a solo un 0,1% en inferencia IA

Hemos tenido vulnerabilidades Rowhammer que afectan a la memoria como ZenHammer, una que apareció en marzo de 2024 afectando a las CPU Ryzen y EPYC de las arquitecturas Zen 2 y Zen 3. Apenas un mes después surgió una vulnerabilidad que afectaba a la memoria DRAM (RAM) y dos años después, la actualización AMD AGESA 1.2.8.0 se encargó de corregir otra vulnerabilidad con memorias. Entre medias de todo eso, en septiembre de 2025, ocurrió una vulnerabilidad de ataques Rowhammer que afectaba a las memorias DDR5 de SK Hynix y ahora tendríamos un caso similar, pero afecta a la memoria de la GPU. Este es el denominado GPUHammer, un ataque Rowhammer que provoca desastres en la precisión de los modelos de IA.

Como ya sabrás, las GPU se usan para entrenamiento e inferencia de modelos de inteligencia artificial y necesitan acceder a la memoria en todo momento. Si añadimos cualquier tipo de interferencia en este proceso que afecte a la memoria, los resultados pueden ser catastróficos y eso es lo que ha ocurrido. En un determinado modelo de IA, la GPU no afectada conseguía un 80% de precisión y en el momento en el que GPUHammer ocurría, esta bajó hasta un ínfimo 0,1%. Lo impresionante de todo esto es que solo se requería un cambio de bit en la memoria para producir el desastre.

NVIDIA reconoce el problema y dice que la solución es activar ECC, pero si lo haces pierdes un 10% de rendimiento en IA y se reduce la memoria disponible en un 6,25%

El ataque Rowhammer lo que hace es hacer un exploit en la DRAM a base de "golpear" una fila de celdas. Estos golpes provocan interferencias eléctricas que afectan a las filas adyacentes y lo que hace es que se alteren los bits en la memoria haciendo que se provoquen los fallos. A diferencia de otros casos que suelen surgir por parte de atacantes externos que quieren aprovecharse del exploit para conseguir archivos importantes y una recompensa económica, este es un caso de investigación donde se ha demostrado el primer ataque Rowhammer que afecta a la GPU.

En este caso se ha usado en una NVIDIA RTX A6000 con arquitectura Ampere y 48 GB GDDR6. Esta fue el sujeto de pruebas para ver si podían cumplir estos tres desafíos y así ver el impacto real:

• Descubrir como se organizan los bancos de memoria de la GPU
• Realizar accesos masivos en paralelo para provocar los cambios de bits (hasta 500.000 a la vez)
• Evadir las protecciones internas de la memoria DRAM

Utilizaron 5 modelos de IA ImageNet preentrenado en la A6000 y vieron que con solo realizar una manipulación de bits, la precisión bajaba entre un 56 a un 80% haciendo que el modelo prácticamente no fuese nada preciso. NVIDIA respondió a los resultados de la investigación y su solución fue la de activar ECC a nivel del sistema usando "nvidia-smi -e 1" y tras esto reiniciar el equipo. Ahora bien, activar ECC lo que hace es provocar una pérdida de rendimiento en inferencia IA de un 10% y una reducción del 6,25% de la memoria utilizable.