- Les GPU NVIDIA amb memòria GDDR6 són vulnerables a variants avançades de Rowhammer capaces de provocar milers de canvis de bit controlats.
- Atacs com GDDRHammer i GeForge permeten, des de codi sense privilegis a la GPU, prendre control de les taules de pàgines i accedir a tota la memòria de la CPU.
- L'activació de IOMMU i ECC mitiga el risc, però amb cost de rendiment i sense oferir una protecció totalment infal·lible davant de tots els vectors.
- Ara com ara no es coneixen atacs reals, però l'extensió d'aquestes vulnerabilitats a GPU converteix la seguretat del maquinari gràfic en un front crític.
En els últims anys, les targetes gràfiques de NVIDIA amb memòria GDDR6 han esdevingut peça clau de centres de dades, estacions de treball professionals i PCs domèstics per a gaming i intel·ligència artificial. El que fins fa poc es veia com un maquinari molt potent però relativament secundari en termes de seguretat, avui està sota el focus: diverses investigacions acadèmiques han demostrat que aquestes GPU són vulnerables a atacs del tipus Rowhammer capaços de comprometre completament el sistema.
Aquest escenari suposa un canvi important en la manera com entenem la ciberseguretat dels equips moderns: un codi sense privilegis que s'executa a la GPU pot arribar a agafar el control total de la memòria de la CPU, saltant mecanismes clàssics d'aïllament i elevant els seus permisos fins a nivell root o administrador. A veure amb calma què és Rowhammer, com s'ha adaptat al món de les gràfiques NVIDIA amb GDDR6, què han aconseguit exactament els investigadors i quines opcions reals hi ha avui per mitigar el problema.
Què és Rowhammer i per què és tan perillós
Els atacs Rowhammer exploten una debilitat física de la memòria DRAM, tant en mòduls DDR tradicionals com en memòries específiques com a GDDR usades en GPUs. La idea és relativament senzilla d'explicar, encara que la seva explotació pràctica sigui molt sofisticada: si s'accedeix de manera extremadament ràpida i repetitiva a determinades files (rows) de cel·les de memòria, es generen pertorbacions elèctriques que poden alterar bits emmagatzemats a files veïnes.
A la pràctica, aquest fenomen es tradueix que un bit emmagatzemat com 0 pot passar a 1 i viceversa. A aquests canvis se'ls coneix com a bit-flips o bolcades de bits. El que és greu no és només l'error en si, sinó que un atacant amb un patró d'accés dissenyat acuradament pot forçar que aquests bit-flips passin en estructures de memòria molt concretes, com ara taules de pàgines o dades sensibles, permetent-li trencar l'aïllament entre processos o escalar privilegis.
Els primers treballs coneguts que van demostrar Rowhammer de forma convincent es remunten al voltant del 2014, quan es va veure que el «marteig» intensiu sobre cel·les de memòria DDR3 podia provocar canvis de bits suficients per executar codi amb més privilegis dels permesos. El 2015 se'n va anar un pas més enllà, en demostrar atacs pràctics capaços d'elevar un usuari sense permisos a administrador i saltar-se protecció d'entorns sandbox només explotant aquesta física de la DRAM.
En aquells temps, latenció estava gairebé per complet en la memòria del sistema (DDR3 primer, DDR4 després), i sassumia que mecanismes com ECC (Codi de correcció d'errors) i les tècniques de Target Row Refresh (TRR) implementades pels fabricants de memòria serien suficients per contenir l'amenaça a escenaris reals. Els estudis recents han deixat clar que aquesta confiança era, com a mínim, optimista.
Avui sabem que els atacs Rowhammer no es limiten a la memòria principal de la CPU. L'evidència experimental mostra que la memòria GDDR6 utilitzada en moltes GPU modernes de NVIDIA també és vulnerable, obrint la porta a atacs molt més profunds que degradar un model d'IA o corrompre dades: es pot arribar a comprometre el sistema operatiu amfitrió.
De la RAM del sistema a les GPUs: per què la memòria GDDR6 de NVIDIA està al punt de mira
Durant anys, la seguretat s'ha centrat gairebé en exclusiva a processadors, sistemes operatius i aplicacions. Les GPU es veien més com a acceleradors relativament aïllats, potents però lluny del nucli crític del sistema. Aquesta visió ja no se sosté: les gràfiques modernes estan profundament integrades amb la memòria del host mitjançant mecanismes com la Memòria Virtual Unificada i l'accés directe mitjançant el bus PCIe.
Investigadors de la UNC Chapel Hill, Geòrgia Tech i altres centres han demostrat de manera independent que les GPUs de NVIDIA basades en arquitectures Ampere i Ada Lovelace amb memòria GDDR6 són susceptibles a variants avançades de Rowhammer. Els seus treballs, coneguts com a GDDRHammer, GeForge i GPUHammer, mostren diferents maneres d'aprofitar la vulnerabilitat física de la GDDR6 per provocar alteracions de bits de forma massiva i controlada.
En proves pràctiques s'han observat xifres cridaneres: més de 1.100 bit-flips en una GeForce RTX 3060 i més de 200 en una RTX A6000 professional en el cas de GeForge; i mitjanes de l'ordre de 1.000 canvis de bit per gigabyte de memòria amb GDDRHammer, és a dir, desenes de vegades més que en intents anteriors sobre GPU. Això deixa clar que la GDDR6 no només és vulnerable, sinó que ho és en un grau que fa viables atacs complets a nivell de sistema.
Cal subratllar que, de moment, els models concrets demostrats com a vulnerables inclouen, entre d'altres, les NVIDIA GeForce RTX 3060 de consum i targetes professionals com les RTX 6000, RTX 6000 Ada i RTX A6000 amb memòria GDDR6. Els mateixos autors matisen que no seria estrany que altres generacions recents de GPUs (no només de NVIDIA, sinó també d'AMD o Intel) presentin problemes similars, encara que això encara està per estudiar de forma sistemàtica.
Una altra peça clau és que, segons les investigacions publicades, les memòries GDDR6X i GDDR7 semblen resistir millor aquest tipus d'atacs amb les tècniques utilitzades fins ara. Això no vol dir que siguin invulnerables per sempre, però sí que, sota les condicions concretes dels estudis, no s'ha aconseguit reproduir el mateix nivell de bitflips que a GDDR6.
Projectes GDDRHammer, GeForge i GPUHammer: què han demostrat exactament
Els noms que han saltat els titulars en aquest àmbit són tres: GDDRHammer, GeForge i el projecte GPU Rowhammer. Tot i que cada línia de treball té el seu propi objectiu, totes parteixen de la mateixa base: aprofitar Rowhammer en memòries GDDR6 per més que un error aïllat, construint cadenes d'atac completes que permetin comprometre l'equip amfitrió.
GDDRHammer i GeForge se centren a demostrar atacs d'escalada de privilegis complets des de codi sense privilegis executat a la GPU fins a obtenir accés root al sistema operatiu. Per la seva banda, GPUHammer s'enfoca a l'impacte que aquests bit-flips poden tenir sobre la precisió de models d'intel·ligència artificial en execució, degradant dràsticament la seva fiabilitat només amb un canvi de bit ben col·locat.
Aquesta nova generació de treballs va molt més enllà de les primeres proves de concepte amb GPUs, que amb prou feines aconseguien induir uns quants bit-flips i es quedaven a degradar lleugerament la inferència de xarxes neuronals. Ara es parla de cadenes d'atac completes, amb manipulació detallada de taules de pàgines, evasió de contramesures de maquinari i accés arbitrari a la memòria del host. No és un simple bug molest, sinó una amenaça de seguretat de primer nivell.
A més, ambdós estudis principals, GDDRHammer i GeForge, es presentaran formalment al 47è Simposi de Seguretat i Privadesa de l'IEEE al maig de 2026, cosa que posa de manifest la seva rellevància dins de la comunitat de seguretat. Fins ara parlem de treballs acadèmics, però la seva publicació ajuda que fabricants i proveïdors de serveis prenguin consciència i comencin a plantejar mitigacions més robustes.
Detalls tècnics: com aconsegueixen forçar els canvis de bits a GDDR6
Perquè Rowhammer sigui realment útil en un atac, no n'hi ha prou de provocar un parell d'errors de forma aleatòria. Els investigadors han hagut de dissenyar patrons d'accés extremadament fins que els permetin esquivar les defenses de la memòria GDDR6, localitzar cel·les especialment vulnerables i concentrar els bitflips en les estructures que més interessen per escalar privilegis.
Una de les claus és a les mitigacions TRR (Target Row Refresh), que intenten identificar patrons d'accés sospitosos i refrescar de manera preventiva les files veïnes. GeForge introdueix per això patrons no uniformes que es reparteixen per diversos intervals de refresc, canviant la freqüència i fins i tot l'ordre d'activació de files perquè el maquinari no detecti que s'està martellejant una regió concreta.
Per la seva banda, GDDRHammer aprofita que les files de memòria DRAM a les targetes gràfiques tenen una disposició geomètrica no monòtona, és a dir, la relació entre direcció física i posició real als bancs de memòria no és lineal ni senzilla. Després d'un procés d'anàlisi, aconsegueixen construir patrons de doble cara (double-sided Rowhammer) altament efectius, fins i tot quan les adreces físiques semblen distants sobre el paper.
També és crucial el repartiment de treball entre els multiprocessadors de transmissió (SMs) de la GPU. Al assignar bancs de memòria concrets a SMs específics i sincronitzar-ne parcialment l'execució, aconsegueixen maximitzar el nombre d'activacions per unitat de temps sense que els mecanismes interns de seguretat de la DRAM puguin actuar a temps.
Com a resultat d'aquests enfocaments, s'aconsegueix una taxa de bitflips molt elevada: el mètode GeForge va assolir l'entorn de 1.171 canvis de bit en una RTX 3060 i 202 en una RTX A6000; GDDRHammer va informar d'una mitjana de 1.032 bit-flips per gigabyte de memòria, fet que suposa una millora d'unes 64 vegades respecte a intents previs sobre GPU. Amb números així, ja no estem davant d'un fenomen esporàdic, sinó davant d'una arma potencialment sistemàtica.
Del bit-flip al control total: manipulació de taules de pàgines i escalada de privilegis
El que és veritablement impressionant d'aquests treballs és com converteixen petites alteracions elèctriques en control absolut del sistema. Per això, els atacs apunten a les taules de pàgines jeràrquiques que administra la unitat de gestió de memòria (MMU) de la GPU, estructures crítiques que determinen com es tradueixen les adreces virtuals en adreces físiques.
El problema és que aquestes taules de pàgines solen viure a regions protegides o poc predictibles de la memòria, no exactament on un atacant voldria tenir-les per provocar canvis de bits. Aquí entra en joc l'anomenat «massatge de memòria»: tècniques que forcen l'assignador a col·locar aquestes taules en ubicacions físiques que l'atacant ha identificat prèviament com a vulnerables a Rowhammer.
GDDRHammer recorre a mapeigs de memòria compartida per a saturar l'assignador i estrènyer la distància entre la memòria controlada per l'usuari i les taules de pàgines. GeForge s'enfoca de forma molt concreta a les entrades del Directori de Pàgines 0 (PD0). En assignar i alliberar acuradament blocs de Memòria Virtual Unificada, aconsegueixen que es creïn noves estructures PD0 just en una subpàgina de 4 KB on saben que és factible induir bit-flips.
Un cop atrapades aquestes estructures en posicions vulnerables, n'hi ha prou amb un únic canvi de bit crític per alterar el punter de direcció física de l'entrada de taula de pàgines. D'aquesta manera, l'entrada deixa d'apuntar una taula legítima i passa a referir-se a una taula de pàgines falsificada, controlada al 100% per l'atacant. Des d'aquell moment, tot accés que utilitzeu aquesta entrada es regeix per les regles, permisos i redireccions que hagi decidit el codi maliciós.
El pas següent és aprofitar un camp específic dins d'aquestes entrades que indica si la direcció física correspon a memòria local de la GPU oa memòria del sistema amfitrió. Modificant aquest valor, l'atacant redirigeix operacions de lectura i escriptura de la GPU cap a la RAM física de la CPU mitjançant el bus PCIe, eludint la pròpia MMU del processador central i les proteccions de còpia en escriptura del sistema operatiu.
En les demostracions, els investigadors van arribar fins i tot a sobreescriure directament el segment de codi de la biblioteca estàndard de C a la memòria del host. Concretament, van injectar codi màquina en una funció utilitzada per un programa legítim amb privilegis elevats. Quan aquest programa va executar la funció modificada, el codi maliciós es va disparar amb tots els permisos, atorgant a l'atacant una consola de superusuari i control total del sistema.
Impacte en la intel·ligència artificial: el cas GPUHammer
Més enllà del control del sistema, un altre angle preocupant és el efecte de Rowhammer sobre la fiabilitat de models d'IA. GPUHammer se centra precisament en aquest vessant: com un únic bit-flip ben situat pot llençar per terra la precisió d'una xarxa neuronal que s'executa a la GPU.
En un dels experiments descrits, es va utilitzar una NVIDIA RTX A6000 amb arquitectura Ampere i 48 GB de GDDR6 per executar cinc models d'IA basats a ImageNet, prèviament entrenats. En condicions normals, aquests models obtenien al voltant d'un 80% de precisió. Un cop aplicat GPUHammer i provocada una manipulació de bit en posicions crítiques de memòria, la precisió es va desplomar fins a nivells tan baixos com el 0,1%.
El que és xocant és que per aconseguir aquest desastre només va ser necessari un únic canvi de bit a la memòria. Si ho traslladem a entorns de producció, on es despleguen models d'IA en serveis crítics (des de diagnòstic mèdic fins a sistemes de recomanació en plataformes gegants), el potencial de causar dany o sabotatge és evident, fins i tot sense necessitat d'escalar privilegis al sistema operatiu.
El mateix atac GPUHammer demostra que, encara que inicialment es pugui veure com un treball de recerca, existeix un vector real datac contra la integritat dels resultats dIA. Un adversari que aconsegueixi executar codi a la GPU, encara que sigui amb pocs permisos, podria manipular silenciosament els models per fer-los inservibles o, pitjor encara, esbiaixar les seves decisions sense que ningú ho noti a curt termini.
Com a resposta a aquests resultats, NVIDIA ha reconegut el problema i ha assenyalat la activació d'ECC a la GPU com a principal mesura de mitigació. Tot i això, això no surt de franc: en proves d'inferència d'IA, s'ha observat una pèrdua de rendiment d'un 10 % i una reducció aproximada del 6,25 % a la memòria utilitzable en habilitar ECC, la qual cosa no és un detall menor per als que espremen el maquinari al màxim.
Mitigacions proposades: IOMMU, ECC i les seues limitacions
Les investigacions coincideixen en dues tècniques principals per intentar contenir aquests atacs: activar la IOMMU a la BIOS del sistema i habilitar els codis de correcció d'errors (ECC) a les GPU que ho suporten. Totes dues són útils, però cap és una solució màgica.
La IOMMU (Unitat de Gestió de Memòria d'Entrada/Sortida) actua com una capa de traducció i filtratge entre dispositius com la GPU i la memòria del host. Quan està activada i configurada correctament, restringeix l'accés directe de la targeta gràfica a rangs concrets de memòria, impedint que pugui llegir o escriure lliurement a tota la RAM del sistema encara que aconsegueixi segrestar les seves pròpies taules de pàgines.
El problema pràctic és que, en molts sistemes Linux comercials, la IOMMU ve desactivada per defecte per motius de compatibilitat i rendiment. Això deixa una quantitat considerable dequips exposats, especialment en entorns on es prioritza el màxim rendiment brut de la GPU. A més, els mateixos estudis han mostrat que hi ha tècniques (com el «massatge de memòria» de GeForge) que poden continuar aconseguint efectes importants fins i tot amb certs nivells de protecció activats.
D'altra banda, ECC està pensat per detectar i corregir errors d'un sol bit a la memòria, just el tipus de fallada que provoca Rowhammer en la majoria dels casos. Activar ECC a les GPU professionals de NVIDIA mitiga enormement la fiabilitat de l'atac, perquè els bitflips es corregeixen abans que tinguin efectes apreciables. No obstant això, aquesta característica sol estar desactivada de fàbrica a moltes targetes d'estació de treball per la penalització de rendiment que comporta i directament no és present a la majoria de models de consum.
Hi ha a més un matís incòmode: diversos treballs han demostrat que algunes variants avançades de Rowhammer poden arribar a burlar les defenses d'ECC, per exemple, provocant canvis de múltiples bits a la mateixa cel·la o combinant patrons que superin la capacitat de correcció. És una carrera constant entre els que dissenyen mitigacions i els que estudien com esquivar-les.
En qualsevol cas, mentre NVIDIA no proporcioni solucions específiques de microprogramari, controlador o maquinari per a aquest problema, la recomanació general dels investigadors és clara: activar la IOMMU a la BIOS sempre que sigui possible i habilitar ECC a les GPU compatibles, assumint la penalització moderada en rendiment i memòria efectiva com un mal necessari per millorar la seguretat.
Prevalença del problema, models afectats i situació actual
Una de les preguntes clau és: quantes GPU es veuen realment afectades per aquestes vulnerabilitats? Els estudis publicats donen algunes pistes concretes, encara que la foto completa encara està en construcció. GDDRHammer va avaluar 25 targetes gràfiques de gamma alta amb GDDR6, descobrint que 16 de 17 models RTX A6000 basats en Ampere eren vulnerables a atacs Rowhammer efectius.
A aquestes se sumen les proves documentades sobre la GeForce RTX 3060 de consum i la RTX 6000 Ada, que també van mostrar una quantitat significativa de bit-flips en condicions de laboratori. Tot i que per ara només s'ha confirmat el compromís total de tres models concrets en atacs complets, els mateixos autors insisteixen que no seria gens sorprenent que altres gràfiques recents de NVIDIA, i fins i tot d'AMD o Intel, comparteixin el mateix taló d'Aquil·les.
De cara a l'usuari final, això vol dir que qualsevol equip amb una GPU NVIDIA amb memòria GDDR6 podria ser potencialment vulnerable, especialment si utilitzeu controladors i configuracions del sistema que no activen ni IOMMU ni ECC. I atès que l'escalada de privilegis es produeix a nivell de maquinari, els antivirus i solucions de seguretat tradicionals tenen molt poca o cap visibilitat del que està passant, cosa que en dificulta la detecció.
La bona notícia, dins del que és possible, és que de moment no es coneixen casos dexplotació activa daquestes tècniques en atacs reals fora de lentorn acadèmic. Els investigadors remarquen que això dóna cert marge perquè la indústria respongui, fabricants inclosos, adoptant mesures addicionals abans que apareguin kits d'explotació llestos per fer servir.
En entorns especialment crítics, com les grans plataformes cloud i els proveïdors de serveis d'IA a gran escala, és habitual comptar amb nivells de seguretat significativament superiors als d'un PC d'escriptori. Això inclou configuracions més estrictes de IOMMU, monitorització més exhaustiva i segmentació de càrregues de treball, cosa que redueix el risc pràctic davant d'un atac Rowhammer contra la GPU en comparació del que podria passar a l'ordinador personal d'un usuari domèstic o servidors mal configurats.
Per part seva, NVIDIA ha remès a la documentació publicada anteriorment en el context d'un altre atac relacionat, GPUHammer, oferint una pàgina de referència amb recomanacions de configuració i mitigació, encara que sense entrar encara en massa detalls específics sobre aquestes noves variants GDDRHammer i GeForge.
El panorama que es dibuixa és el d'una vulnerabilitat inherent a la física de la DRAM que s'ha anat expandint des de la memòria del sistema a pràcticament qualsevol component que depengui de cel·les DRAM denses: CPUs, memòries DDR tradicionals, mòduls DDR5 concrets com els de SK Hynix afectats el 2025, memòries usades per CPUs d'AMD com ZenHammer a Zen 2 i Zen 3, i ara també GD.
A hores d'ara, tot apunta que Rowhammer seguirà sent un camp de batalla durant força temps, tant en recerca acadèmica com a la indústria. Els descobriments sobre les gràfiques de NVIDIA amb GDDR6 són un avís clar que ja no n'hi ha prou de preocupar-se pel processador o el sistema operatiu: la seguretat del maquinari gràfic s'ha convertit, li agradi a qui li agradi, en una peça més del puzle.
Amb tota la informació publicada fins ara, queda clar que la combinació de creixent complexitat del maquinari, dependència massiva de GPUs per a IA i gaming, i vulnerabilitats físiques com Rowhammer situa les targetes gràfiques de NVIDIA amb GDDR6 en una posició delicada des del punt de vista de la seguretat. Encara que ara com ara el risc pràctic per a l'usuari mitjà no sigui extrem, la possibilitat de passar de simples bit-flips a la presa de control total d'un sistema mitjançant tècniques com GDDRHammer o GeForge converteix aquestes investigacions en una cosa que fabricants, administradors de sistemes i professionals de ciberseguretat haurien de prendre's molt seriosament, començant per revisar configuracions com IOMMU i ECC.
