- NVIDIA GPU's met GDDR6-geheugen zijn kwetsbaar voor geavanceerde varianten van Rowhammer die duizenden gecontroleerde bitwijzigingen kunnen veroorzaken.
- Aanvallen zoals GDDRHammer en GeForge stellen code zonder bevoegdheden op de GPU in staat om de paginatabellen over te nemen en toegang te krijgen tot al het CPU-geheugen.
- Het activeren van IOMMU en ECC vermindert het risico, maar dit gaat ten koste van de prestaties en biedt geen volledig onfeilbare bescherming tegen alle bedreigingen.
- Tot nu toe zijn er geen daadwerkelijke aanvallen bekend, maar de verspreiding van deze kwetsbaarheden naar GPU's maakt de beveiliging van grafische hardware tot een kritieke kwestie.
De afgelopen jaren zijn NVIDIA-videokaarten met GDDR6-geheugen een essentieel onderdeel geworden van datacenters, professionele werkstations en thuis-pc's voor gaming en kunstmatige intelligentie. Wat tot voor kort werd beschouwd als zeer krachtige, maar qua beveiliging relatief ondergeschikte hardware, staat nu onder de loep: verschillende wetenschappelijke studies hebben aangetoond dat deze GPU's kwetsbaar zijn voor Rowhammer-aanvallen die het systeem volledig kunnen compromitteren.
Dit scenario vertegenwoordigt een aanzienlijke verschuiving in ons begrip van cyberbeveiliging op moderne computers: onbevoegde code die op de GPU draait, kan volledige controle over het geheugen van de CPU verkrijgen , traditionele isolatiemechanismen omzeilen en zijn bevoegdheden verhogen tot root- of beheerdersniveau. Laten we eens nader bekijken wat Rowhammer is, hoe het zich heeft aangepast aan de wereld van NVIDIA-videokaarten met GDDR6, wat de onderzoekers precies hebben bereikt en welke concrete opties er momenteel bestaan om het probleem te verhelpen.
Wat is Rowhammer en waarom is het zo gevaarlijk?
Rowhammer-aanvallen maken gebruik van een fysieke zwakte in DRAM-geheugen , zowel in traditionele DDR-modules als in gespecialiseerd geheugen zoals GDDR dat in GPU's wordt gebruikt. Het idee is relatief eenvoudig uit te leggen, hoewel de praktische uitvoering ervan zeer geavanceerd is: als bepaalde rijen geheugencellen extreem snel en herhaaldelijk worden benaderd, ontstaan er elektrische verstoringen die de bits in aangrenzende rijen kunnen wijzigen.
In de praktijk betekent dit fenomeen dat een bit die als 0 is opgeslagen, kan veranderen in 1 en omgekeerd . Deze veranderingen staan bekend als "bit flips". Het ernstige probleem is niet alleen de fout zelf, maar ook dat een aanvaller met een zorgvuldig ontworpen toegangspatroon deze bit flips kan forceren in zeer specifieke geheugenstructuren, zoals paginatabellen of gevoelige gegevens, waardoor ze de procesisolatie kunnen doorbreken of privileges kunnen verhogen.
De eerste bekende werken die Rowhammer overtuigend demonstreerden, dateren van rond 2014, toen werd aangetoond dat intensief "hameren" van DDR3-geheugencellen voldoende bitwijzigingen kon veroorzaken om code uit te voeren met hogere privileges dan toegestaan. In 2015 gingen onderzoekers een stap verder en demonstreerden ze praktische aanvallen waarmee een ongeautoriseerde gebruiker beheerdersrechten kon krijgen en sandboxbeveiliging kon worden omzeild, simpelweg door deze DRAM-fysica te exploiteren.
Destijds lag de aandacht vrijwel volledig op het systeemgeheugen (eerst DDR3, later DDR4), en men ging ervan uit dat mechanismen zoals ECC (Error-Correcting Code) en Target Row Refresh (TRR)-technieken, geïmplementeerd door geheugenfabrikanten, voldoende zouden zijn om de dreiging in de praktijk te beperken. Recente studies hebben echter duidelijk gemaakt dat dit vertrouwen op zijn best optimistisch was.
Tegenwoordig weten we dat Rowhammer-aanvallen niet beperkt zijn tot het hoofdgeheugen van de CPU. Experimenteel bewijs toont aan dat het GDDR6-geheugen dat in veel moderne NVIDIA GPU's wordt gebruikt, ook kwetsbaar is , waardoor de deur wordt geopend voor aanvallen die veel verder gaan dan het degraderen van een AI-model of het beschadigen van gegevens: het besturingssysteem kan worden gecompromitteerd.
Van systeem-RAM tot GPU's: waarom NVIDIA's GDDR6-geheugen in de schijnwerpers staat.
Jarenlang lag de focus van beveiliging bijna uitsluitend op processors, besturingssystemen en applicaties . GPU's werden meer gezien als relatief geïsoleerde accelerators – krachtig, maar ver verwijderd van de cruciale kern van het systeem. Deze visie is niet langer geldig: moderne grafische kaarten zijn diep geïntegreerd met het hostgeheugen via mechanismen zoals Unified Virtual Memory en directe toegang via de PCIe-bus.
Onderzoekers van UNC Chapel Hill, Georgia Tech en andere instellingen hebben onafhankelijk van elkaar aangetoond dat NVIDIA GPU's gebaseerd op Ampere- en Ada Lovelace-architecturen met GDDR6-geheugen vatbaar zijn voor geavanceerde varianten van Rowhammer . Hun werk, bekend als GDDRHammer, GeForge en GPUHammer, laat verschillende manieren zien om de fysieke kwetsbaarheid van GDDR6 te exploiteren om massale en gecontroleerde bitwijzigingen te veroorzaken.
Praktische tests hebben een aantal zeer opvallende cijfers aan het licht gebracht: meer dan 1.100 bit-flips op een GeForce RTX 3060 en meer dan 200 op een professionele RTX A6000 in het geval van GeForce; en gemiddeld zo'n 1.000 bit-flips per gigabyte geheugen met GDDRHammer, dat wil zeggen tientallen keren meer dan bij eerdere GPU-aanvallen. Dit maakt duidelijk dat GDDR6 niet alleen kwetsbaar is, maar in een mate die aanvallen op het volledige systeem mogelijk maakt.
Het moet benadrukt worden dat de specifieke modellen die momenteel kwetsbaar blijken te zijn, onder andere de consumentenversie van de NVIDIA GeForce RTX 3060 en professionele kaarten zoals de RTX 6000, RTX 6000 Ada en RTX A6000 met GDDR6-geheugen omvatten. De auteurs zelf geven aan dat het niet verrassend zou zijn als andere recente generaties GPU's (niet alleen van NVIDIA, maar ook van AMD of Intel) soortgelijke problemen vertonen, hoewel dit nog systematisch onderzocht moet worden.
Een andere belangrijke bevinding is dat GDDR6X- en GDDR7-geheugen, volgens gepubliceerd onderzoek, beter bestand lijken te zijn tegen dit soort aanvallen met behulp van de huidige technieken. Dit betekent niet dat ze voor altijd onkwetsbaar zijn, maar wel dat onder de specifieke omstandigheden van de onderzoeken hetzelfde aantal bitfouten als bij GDDR6 niet kon worden gerepliceerd.
De projecten GDDRHammer, GeForge en GPUHammer: wat hebben ze precies aangetoond?
Drie namen hebben de krantenkoppen gehaald op dit gebied: GDDRHammer, GeForge en het GPU Rowhammer-project . Hoewel elk project zijn eigen doel heeft, delen ze allemaal dezelfde basis: Rowhammer in GDDR6-geheugen gebruiken voor meer dan alleen een geïsoleerde kwetsbaarheid, maar complete aanvalsketens bouwen waarmee het hostsysteem kan worden gecompromitteerd.
GDDRHammer en GeForge richten zich op het demonstreren van aanvallen die volledige privilege-escalatie mogelijk maken, van het uitvoeren van code zonder privileges op de GPU tot het verkrijgen van root-toegang tot het besturingssysteem. GPUHammer daarentegen richt zich op de impact die deze bitfouten kunnen hebben op de nauwkeurigheid van AI-modellen, waarbij hun betrouwbaarheid drastisch kan afnemen door slechts één goed geplaatste bitfout.
Deze nieuwe generatie gaat veel verder dan de eerste proof-of-concept-tests met GPU's, die nauwelijks een paar bitfouten veroorzaakten en de inferentie van neurale netwerken slechts lichtjes beïnvloedden. Nu hebben we het over complete aanvalsketens, met gedetailleerde manipulatie van paginatabellen, het omzeilen van hardwarematige tegenmaatregelen en willekeurige toegang tot het hostgeheugen . Het is niet zomaar een vervelende bug, maar een ernstige beveiligingsdreiging.
Bovendien zullen beide belangrijke studies, GDDRHammer en GeForge, formeel worden gepresenteerd op het 47e IEEE Security and Privacy Symposium in mei 2026 , wat hun relevantie binnen de beveiligingsgemeenschap onderstreept. Tot nu toe hebben we het gehad over academisch werk, maar de publicatie ervan helpt fabrikanten en dienstverleners zich bewust te worden van deze problemen en robuustere oplossingen te ontwikkelen.
Technische details: hoe ze erin slagen bitwijzigingen in GDDR6 af te dwingen.
Om Rowhammer echt nuttig te maken bij een aanval, is het simpelweg veroorzaken van een paar willekeurige fouten niet voldoende. Onderzoekers hebben extreem verfijnde toegangspatronen moeten ontwerpen waarmee ze de beveiliging van GDDR6-geheugen kunnen omzeilen, bijzonder kwetsbare cellen kunnen lokaliseren en bitfouten kunnen concentreren op de structuren die het meest relevant zijn voor privilege-escalatie.
Een van de belangrijkste aspecten is de Target Row Refresh (TRR)-mitigatie, die probeert verdachte toegangspatronen te identificeren en aangrenzende rijen proactief te vernieuwen. Om dit te bereiken introduceert GeForce niet-uniforme patronen die verspreid zijn over meerdere vernieuwingsintervallen , waardoor de frequentie en zelfs de volgorde waarin rijen worden geactiveerd verandert, zodat de hardware niet detecteert dat een specifiek gebied herhaaldelijk wordt benaderd.
GDDRHammer maakt op zijn beurt gebruik van het feit dat de DRAM-geheugenrijen in grafische kaarten een niet-monotone geometrische ordening hebben ; dat wil zeggen dat de relatie tussen fysiek adres en werkelijke positie in de geheugenbanken noch lineair noch eenvoudig is. Na een analyseproces slagen ze erin zeer effectieve dubbelzijdige Rowhammer-patronen te construeren, zelfs wanneer de fysieke adressen op papier ver uit elkaar lijken te liggen.
De verdeling van de taken over de streaming multiprocessors (SM's) van de GPU is ook cruciaal. Door specifieke geheugenbanken aan specifieke SM's toe te wijzen en hun uitvoering gedeeltelijk te synchroniseren , maximaliseren ze het aantal activaties per tijdseenheid zonder de interne veiligheidsmechanismen van het DRAM de kans te geven tijdig in te grijpen.
Als gevolg van deze benaderingen wordt een zeer hoge bit-flip rate bereikt: de GeForge-methode bereikte ongeveer 1.171 bit-flips op een RTX 3060 en 202 op een RTX A6000 ; GDDRHammer rapporteerde een gemiddelde van 1.032 bit-flips per gigabyte geheugen, wat een verbetering van ongeveer 64 keer betekent ten opzichte van eerdere pogingen op GPU's. Met zulke cijfers hebben we niet langer te maken met een sporadisch fenomeen, maar met een potentieel systematisch wapen.
Van bit-flip tot totale controle: manipulatie van paginatabellen en privilege-escalatie.
Wat deze aanvallen werkelijk indrukwekkend maakt, is hoe ze minuscule elektrische storingen omzetten in volledige systeemcontrole . Om dit te bereiken, richten de aanvallen zich op de hiërarchische paginatabellen die worden beheerd door de Memory Management Unit (MMU) van de GPU, cruciale structuren die bepalen hoe virtuele adressen worden vertaald naar fysieke adressen.
Het probleem is dat deze paginatabellen zich doorgaans in beveiligde of onvoorspelbare geheugenregio's bevinden , niet bepaald waar een aanvaller ze zou willen hebben om bitwijzigingen te veroorzaken. Dit is waar zogenaamde "geheugenmanipulatie" om de hoek komt kijken: technieken die de geheugenbeheerder dwingen deze tabellen te plaatsen op fysieke locaties die de aanvaller eerder heeft geïdentificeerd als kwetsbaar voor Rowhammer.
GDDRHammer gebruikt shared memory mapping om de allocator te verzadigen en de kloof tussen door de gebruiker beheerd geheugen en paginatabellen te verkleinen . GeForge richt zich specifiek op items in Page Directory 0 (PD0). Door blokken Unified Virtual Memory zorgvuldig toe te wijzen en vrij te geven, creëren ze nieuwe PD0-structuren precies in een subpagina van 4 KB waar ze weten dat het mogelijk is om bitfouten te veroorzaken.
Zodra deze structuren in kwetsbare posities zijn vastgezet, is een enkele cruciale bitwijziging voldoende om de fysieke adrespointer van de paginatabelvermelding te wijzigen . Hierdoor wijst de vermelding niet langer naar een legitieme tabel, maar naar een vervalste paginatabel die volledig door de aanvaller wordt beheerd. Vanaf dat moment wordt alle toegang via die vermelding beheerst door de regels, machtigingen en omleidingen die door de kwaadaardige code zijn bepaald.
De volgende stap is het misbruiken van een specifiek veld binnen deze gegevens dat aangeeft of het fysieke adres overeenkomt met het lokale geheugen van de GPU of het geheugen van het hostsysteem . Door deze waarde te wijzigen, leidt de aanvaller lees- en schrijfbewerkingen van de GPU om naar het fysieke RAM-geheugen van de CPU via de PCIe-bus, waardoor de MMU van de CPU en de schrijfbeveiliging van het besturingssysteem worden omzeild.
In hun demonstraties gingen de onderzoekers zelfs zo ver dat ze het C-standaardbibliotheekcodefragment in het geheugen van de host rechtstreeks overschreven . Concreet injecteerden ze machinecode in een functie die werd gebruikt door een legitiem programma met verhoogde privileges. Toen dat programma de gemodificeerde functie uitvoerde, werd de kwaadaardige code met volledige rechten geactiveerd, waardoor de aanvaller een supergebruikersconsole en volledige controle over het systeem kreeg.
Impact op kunstmatige intelligentie: de GPUHammer-case
Naast de controle over het systeem is een ander zorgwekkend aspect het effect van Rowhammer op de betrouwbaarheid van AI-modellen . GPUHammer richt zich precies op dit probleem: hoe een enkele, goed geplaatste bitfout de nauwkeurigheid van een neuraal netwerk dat op de GPU draait, kan ondermijnen.
In een van de beschreven experimenten werd een NVIDIA RTX A6000 met Ampere-architectuur en 48 GB GDDR6-geheugen gebruikt om vijf vooraf getrainde ImageNet-gebaseerde AI-modellen uit te voeren. Onder normale omstandigheden behaalden deze modellen een nauwkeurigheid van ongeveer 80%. Nadat GPUHammer was toegepast en bitmanipulatie op kritieke geheugenlocaties was geactiveerd, daalde de nauwkeurigheid tot een niveau van slechts 0,1%.
Het schokkende is dat deze ramp slechts een kleine wijziging in het geheugen vereiste . Als we dit toepassen op productieomgevingen, waar AI-modellen worden ingezet in kritieke diensten (van medische diagnoses tot aanbevelingssystemen op enorme platforms), is het potentieel voor schade of sabotage duidelijk, zelfs zonder de bevoegdheden van het besturingssysteem te verhogen.
De GPUHammer-aanval zelf laat zien dat, hoewel het in eerste instantie een onderzoeksproject lijkt, er een reële aanvalsvector bestaat tegen de integriteit van AI-resultaten . Een aanvaller die erin slaagt code op de GPU uit te voeren, zelfs met beperkte rechten, zou modellen stilletjes kunnen manipuleren om ze onbruikbaar te maken of, erger nog, hun beslissingen te beïnvloeden zonder dat iemand het op korte termijn merkt.
Naar aanleiding van deze resultaten heeft NVIDIA het probleem erkend en aangegeven dat het inschakelen van ECC op de GPU de belangrijkste oplossing is . Dit heeft echter een keerzijde: bij AI-inferentietests werd een prestatieverlies van ongeveer 10% en een vermindering van het bruikbare geheugen met circa 6,25% waargenomen wanneer ECC was ingeschakeld. Dit is geen onbelangrijk detail voor gebruikers die hun hardware tot het uiterste drijven.
Voorgestelde maatregelen: IOMMU, ECC en hun beperkingen
Onderzoek wijst op twee belangrijke technieken om deze aanvallen te bestrijden: het inschakelen van IOMMU in het systeem-BIOS en het inschakelen van foutcorrectiecodes (ECC) op GPU's die dit ondersteunen. Beide zijn nuttig, maar geen van beide is een wondermiddel.
De IOMMU (Input/Output Memory Management Unit) fungeert als een vertaal- en filterlaag tussen apparaten zoals de GPU en het hostgeheugen . Wanneer deze is ingeschakeld en correct geconfigureerd, beperkt deze de directe toegang van de grafische kaart tot specifieke geheugenbereiken, waardoor deze niet vrijelijk alle RAM van het systeem kan lezen of schrijven, zelfs niet als de grafische kaart erin slaagt zijn eigen paginatabellen te kapen.
Het praktische probleem is dat IOMMU in veel commerciële Linux-systemen standaard is uitgeschakeld omwille van compatibiliteit en prestaties . Hierdoor zijn veel machines kwetsbaar, vooral in omgevingen waar maximale GPU-prestaties prioriteit hebben. Bovendien hebben studies aangetoond dat bepaalde technieken (zoals GeForce's "memory massage") nog steeds aanzienlijke effecten kunnen hebben, zelfs met ingeschakelde beveiligingsniveaus.
Aan de andere kant is ECC ontworpen om fouten van één bit in het geheugen te detecteren en te corrigeren , precies het type fout dat in de meeste gevallen Rowhammer veroorzaakt. Het inschakelen van ECC op de professionele GPU's van NVIDIA vermindert de betrouwbaarheid van de aanval aanzienlijk, omdat bitfouten worden gecorrigeerd voordat ze merkbare gevolgen hebben. Deze functie is echter vaak standaard uitgeschakeld op veel workstation-kaarten vanwege de prestatievermindering die het met zich meebrengt, en is simpelweg niet aanwezig op de meeste consumentenmodellen.
Er is echter ook een ongemakkelijke nuance: verschillende studies hebben aangetoond dat sommige geavanceerde Rowhammer-varianten ECC-beveiligingen kunnen omzeilen , bijvoorbeeld door meerbitsveranderingen in dezelfde cel te veroorzaken of door patronen te combineren die de correctiecapaciteit overschrijden. Het is een voortdurende strijd tussen degenen die beveiligingsmaatregelen ontwerpen en degenen die onderzoeken hoe deze te omzeilen.
Totdat NVIDIA specifieke firmware-, driver- of hardwareoplossingen voor dit probleem biedt, is de algemene aanbeveling van de onderzoekers in ieder geval duidelijk: schakel IOMMU in de BIOS in waar mogelijk en activeer ECC op compatibele GPU's . Accepteer daarbij de geringe prestatievermindering en het lagere effectieve geheugengebruik als een noodzakelijk kwaad om de beveiliging te verbeteren.
De mate waarin het probleem zich voordoet, de getroffen modellen en de huidige situatie.
Een van de belangrijkste vragen is: hoeveel GPU's worden daadwerkelijk getroffen door deze kwetsbaarheden? Gepubliceerde studies bieden enkele concrete aanwijzingen, hoewel het volledige beeld nog in ontwikkeling is. GDDRHammer evalueerde 25 high-end grafische kaarten met GDDR6 en ontdekte dat 16 van de 17 Ampere-gebaseerde RTX A6000-modellen kwetsbaar waren voor effectieve Rowhammer-aanvallen.
Deze bevindingen komen bovenop de gedocumenteerde tests met de consumentenversies van de GeForce RTX 3060 en de RTX 6000 Ada , die ook een aanzienlijk aantal bitfouten onder laboratoriumomstandigheden lieten zien. Hoewel tot nu toe slechts drie specifieke modellen volledig zijn gecompromitteerd in complete aanvallen, benadrukken de auteurs zelf dat het helemaal niet verrassend zou zijn als andere recente grafische kaarten van NVIDIA, en zelfs AMD of Intel, dezelfde zwakke plek zouden hebben.
Vanuit het perspectief van de eindgebruiker betekent dit dat elke computer met een NVIDIA GPU en GDDR6-geheugen potentieel kwetsbaar kan zijn , vooral als deze gebruikmaakt van stuurprogramma's en systeemconfiguraties die IOMMU of ECC niet inschakelen. En aangezien privilege-escalatie op hardwareniveau plaatsvindt, hebben traditionele antivirus- en beveiligingsoplossingen weinig tot geen inzicht in wat er gebeurt, waardoor het moeilijk te detecteren is.
Het goede nieuws is, relatief gezien, dat er momenteel geen bekende gevallen zijn van deze technieken die actief worden gebruikt bij daadwerkelijke aanvallen buiten de academische wereld. Onderzoekers benadrukken dat dit de industrie, inclusief fabrikanten, enige speelruimte geeft om te reageren door aanvullende maatregelen te nemen voordat kant-en-klare exploitatiekits beschikbaar komen.
In bijzonder kritieke omgevingen, zoals grote cloudplatformen en grootschalige AI-dienstverleners, is het gebruikelijk om aanzienlijk hogere beveiligingsniveaus te hanteren dan op een desktop-pc . Dit omvat strengere IOMMU-configuraties, uitgebreidere monitoring en workloadsegmentatie, waardoor het praktische risico van een Rowhammer-aanval op de GPU kleiner is dan op een pc van een thuisgebruiker of op slecht geconfigureerde servers.
NVIDIA heeft op zijn beurt verwezen naar de eerder gepubliceerde documentatie in het kader van een andere verwante aanval, GPUHammer, en een referentiepagina met configuratie- en mitigatieaanbevelingen aangeboden, zonder echter al te veel specifieke details over deze nieuwe GDDRHammer- en GeForge-varianten te onthullen.
Het beeld dat naar voren komt, is er een van een inherente kwetsbaarheid in de fysica van DRAM die zich heeft uitgebreid van systeemgeheugen naar vrijwel elk onderdeel dat afhankelijk is van dichte DRAM-cellen: CPU's, traditioneel DDR-geheugen, specifieke DDR5-modules zoals die van SK Hynix die in 2025 getroffen zijn, geheugen gebruikt door AMD-CPU's zoals ZenHammer in Zen 2 en Zen 3, en nu ook GDDR6 in NVIDIA-GPU's.
Alles wijst er tot op heden op dat Rowhammer nog geruime tijd een strijdperk zal blijven , zowel in academisch onderzoek als in de industrie. De ontdekkingen met betrekking tot NVIDIA-videokaarten met GDDR6 zijn een duidelijke waarschuwing dat het niet langer voldoende is om je zorgen te maken over de processor of het besturingssysteem: de beveiliging van grafische hardware is, of we het nu leuk vinden of niet, een integraal onderdeel van de puzzel geworden.
Met alle tot nu toe gepubliceerde informatie is het duidelijk dat de combinatie van toenemende hardwarecomplexiteit, de enorme afhankelijkheid van GPU's voor AI en gaming, en fysieke kwetsbaarheden zoals Rowhammer, NVIDIA-videokaarten met GDDR6 in een precaire positie brengt vanuit een beveiligingsperspectief. Hoewel het praktische risico voor de gemiddelde gebruiker momenteel niet extreem is, maakt de mogelijkheid om van simpele bitfouten over te gaan naar volledige systeemovername met behulp van technieken zoals GDDRHammer of GeForge dit onderzoek iets dat fabrikanten, systeembeheerders en cybersecurityprofessionals zeer serieus moeten nemen, te beginnen met het beoordelen van configuraties zoals IOMMU en ECC waar beschikbaar.
