- NVIDIA GPU-er med GDDR6-minne er sårbare for avanserte varianter av Rowhammer som er i stand til å forårsake tusenvis av kontrollerte bit-endringer.
- Angrep som GDDRHammer og GeForge lar kode uten privilegier på GPU-en ta kontroll over sidetabeller og få tilgang til alt CPU-minne.
- Aktivering av IOMMU og ECC reduserer risikoen, men på bekostning av ytelse og uten å tilby fullstendig ufeilbarlig beskyttelse mot alle vektorer.
- Så langt finnes det ingen kjente reelle angrep, men spredningen av disse sårbarhetene til GPU-er gjør sikkerheten til grafikkmaskinvare til et kritisk problem.
I de senere årene har NVIDIA-grafikkort med GDDR6-minne blitt en nøkkelkomponent i datasentre, profesjonelle arbeidsstasjoner og hjemme-PC-er for spilling og kunstig intelligens. Det som inntil nylig ble sett på som svært kraftig, men relativt sekundær maskinvare når det gjelder sikkerhet, er nå under lupen: flere akademiske studier har vist at disse GPU-ene er sårbare for Rowhammer-lignende angrep som kan kompromittere systemet fullstendig.
Dette scenariet representerer et betydelig skifte i hvordan vi forstår cybersikkerhet på moderne datamaskiner: uprivilegert kode som kjører på GPU-en kan få full kontroll over CPU-ens minne , omgå tradisjonelle isolasjonsmekanismer og heve rettighetene til root- eller administratornivå. La oss se nærmere på hva Rowhammer er, hvordan det har tilpasset seg NVIDIA-grafikkortenes verden med GDDR6, hva forskerne egentlig har oppnådd, og hvilke reelle alternativer som finnes i dag for å redusere problemet.
Hva er en råhammer, og hvorfor er den så farlig?
Rowhammer-angrep utnytter en fysisk svakhet i DRAM-minne , både i tradisjonelle DDR-moduler og i spesialisert minne som GDDR brukt i GPU-er. Ideen er relativt enkel å forklare, selv om den praktiske utnyttelsen er svært sofistikert: hvis visse rader med minneceller aksesseres ekstremt raskt og gjentatte ganger, genereres elektriske forstyrrelser som kan endre biter lagret i nærliggende rader.
I praksis betyr dette fenomenet at en bit lagret som 0 kan endres til 1 og omvendt . Disse endringene er kjent som «bit-flips». Det alvorlige problemet er ikke bare selve feilen, men at en angriper med et nøye designet tilgangsmønster kan tvinge disse bit-flipsene til å skje i svært spesifikke minnestrukturer, for eksempel sidetabeller eller sensitive data, slik at de kan bryte prosessisolasjon eller eskalere rettigheter.
De første kjente arbeidene som overbevisende demonstrerer Rowhammer, stammer fra rundt 2014, da det ble vist at intensiv "hamring" av DDR3-minneceller kunne forårsake nok bit-endringer til å kjøre kode med høyere privilegier enn tillatt. I 2015 gikk forskere et skritt videre og demonstrerte praktiske angrep som var i stand til å heve en uautorisert bruker til administratorstatus og omgå sandkassebeskyttelse ganske enkelt ved å utnytte denne DRAM-fysikken.
På den tiden var oppmerksomheten nesten utelukkende fokusert på systemminne (først DDR3, senere DDR4), og det ble antatt at mekanismer som ECC (Error-Correcting Code) og Target Row Refresh (TRR)-teknikker implementert av minneprodusenter ville være tilstrekkelige til å begrense trusselen i virkelige scenarier. Nyere studier har gjort det klart at denne tilliten i beste fall var optimistisk.
I dag vet vi at Rowhammer-angrep ikke er begrenset til CPU-ens hovedminne. Eksperimentelle bevis viser at GDDR6-minnet som brukes i mange moderne NVIDIA GPU-er også er sårbart , noe som åpner døren for angrep som er langt mer omfattende enn å forringe en AI-modell eller ødelegge data: vertsoperativsystemet kan bli kompromittert.
Fra system-RAM til GPU-er: hvorfor NVIDIAs GDDR6-minne er i søkelyset
I årevis har sikkerhet nesten utelukkende fokusert på prosessorer, operativsystemer og applikasjoner . GPU-er ble sett mer på som relativt isolerte akseleratorer – kraftige, men langt unna systemets kritiske kjerne. Dette synet er ikke lenger gyldig: moderne grafikk er dypt integrert med vertsminne gjennom mekanismer som Unified Virtual Memory og direkte tilgang via PCIe-bussen.
Forskere ved UNC Chapel Hill, Georgia Tech og andre institusjoner har uavhengig demonstrert at NVIDIA GPU-er basert på Ampere- og Ada Lovelace-arkitekturer med GDDR6-minne er utsatt for avanserte varianter av Rowhammer . Arbeidet deres, kjent som GDDRHammer, GeForge og GPUHammer, viser ulike måter å utnytte den fysiske sårbarheten til GDDR6 for å forårsake massive og kontrollerte bitendringer.
Praktiske tester har avdekket noen svært slående tall: over 1.100 bit-flips på et GeForce RTX 3060 og over 200 på et profesjonelt RTX A6000 for GeForce; og gjennomsnitt på rundt 1.000 bit-flips per gigabyte minne med GDDRHammer, det vil si dusinvis av ganger mer enn i tidligere GPU-angrep. Dette gjør det klart at GDDR6 ikke bare er sårbar, men sårbar i en grad som gjør fullsystemangrep levedyktige.
Det bør understrekes at de spesifikke modellene som for øyeblikket viser seg å være sårbare, blant annet inkluderer forbrukerkortet NVIDIA GeForce RTX 3060 og profesjonelle kort som RTX 6000, RTX 6000 Ada og RTX A6000 med GDDR6-minne. Forfatterne presiserer selv at det ikke ville være overraskende om andre nyere generasjoner av GPU-er (ikke bare fra NVIDIA, men også fra AMD eller Intel) presenterer lignende problemer, selv om dette fortsatt må studeres systematisk.
Et annet viktig funn er at GDDR6X- og GDDR7-minne, ifølge publisert forskning, ser ut til å være mer motstandsdyktig mot denne typen angrep ved bruk av nåværende teknikker. Dette betyr ikke at de er usårbare for alltid, men det betyr at under de spesifikke forholdene i studiene kan ikke det samme nivået av bit-flips som i GDDR6 replikeres.
GDDRHammer-, GeForge- og GPUHammer-prosjekter: hva har de egentlig demonstrert?
Tre navn har skapt overskrifter på dette området: GDDRHammer, GeForge og GPU Rowhammer-prosjektet . Selv om hver arbeidslinje har sitt eget mål, deler de alle samme fundament: å utnytte Rowhammer i GDDR6-minne for mer enn bare en isolert sårbarhet, og bygge komplette angrepskjeder som gjør at vertssystemet kan bli kompromittert.
GDDRHammer og GeForge fokuserer på å demonstrere angrep med full privilegiumeskalering, fra uprivilegert kode som kjører på GPU-en til å få root-tilgang på operativsystemet. GPUHammer, derimot, fokuserer på hvilken innvirkning disse bit-flippene kan ha på nøyaktigheten til å kjøre AI-modeller, og drastisk forringe påliteligheten deres med bare en velplassert bit-flip.
Denne nye generasjonen av arbeid går langt utover de første konsepttestene med GPU-er, som knapt klarte å indusere noen få bit-flips og bare svekket inferensen til nevrale nettverk litt. Nå snakker vi om komplette angrepskjeder, med detaljert manipulering av sidetabeller, omgåelse av maskinvaretiltak og vilkårlig tilgang til vertsminne . Det er ikke bare en irriterende feil, men en sikkerhetstrussel på toppnivå.
Videre vil begge hovedstudiene, GDDRHammer og GeForge, bli formelt presentert på det 47. IEEE Security and Privacy Symposium i mai 2026 , noe som vil fremheve deres relevans i sikkerhetsmiljøet. Frem til nå har vi diskutert akademisk arbeid, men publiseringen av dem hjelper produsenter og tjenesteleverandører med å bli bevisste på disse problemene og begynne å utvikle mer robuste tiltak.
Tekniske detaljer: hvordan de klarer å tvinge frem bit-endringer i GDDR6
For at Rowhammer skal være virkelig nyttig i et angrep, er det ikke nok å bare forårsake et par tilfeldige feil. Forskere har måttet designe ekstremt fine tilgangsmønstre som lar dem omgå GDDR6-minneforsvar, finne spesielt sårbare celler og konsentrere bit-flips på strukturene som er mest relevante for privilegieeskalering.
En av nøklene ligger i tiltak for å redusere risikoen for Target Row Refresh (TRR), som forsøker å identifisere mistenkelige tilgangsmønstre og proaktivt oppdatere nærliggende rader. For å oppnå dette introduserer GeForce ikke-ensartede mønstre spredt over flere oppdateringsintervaller , og endrer frekvensen og til og med rekkefølgen radene aktiveres i, slik at maskinvaren ikke oppdager at en bestemt region blir gjentatte ganger åpnet.
GDDRHammer utnytter på sin side det faktum at DRAM-minneradene i grafikkort har en ikke-monoton geometrisk ordning ; det vil si at forholdet mellom fysisk adresse og faktisk posisjon i minnebankene verken er lineært eller enkelt. Etter en analyseprosess klarer de å bygge svært effektive dobbeltsidige Rowhammer-mønstre, selv når de fysiske adressene virker fjerntliggende på papiret.
Fordelingen av arbeid mellom GPU-ens strømmeprosessorer (SM-er) er også avgjørende. Ved å tilordne spesifikke minnebanker til spesifikke SM-er og delvis synkronisere utførelsen av dem , maksimerer de antall aktiveringer per tidsenhet uten at DRAM-ens interne sikkerhetsmekanismer kan reagere i tide.
Som et resultat av disse tilnærmingene oppnås en svært høy bit-flip-rate: GeForge-metoden nådde omtrent 1.171 bit-flips på et RTX 3060 og 202 på et RTX A6000 ; GDDRHammer rapporterte et gjennomsnitt på 1.032 bit-flips per gigabyte minne, noe som representerer en forbedring på omtrent 64 ganger sammenlignet med tidligere forsøk på GPU-er. Med tall som disse har vi ikke lenger å gjøre med et sporadisk fenomen, men med et potensielt systematisk våpen.
Fra bit-flip til total kontroll: manipulering av sidetabeller og privilegieeskalering
Det som virkelig er imponerende med disse angrepene er hvordan de forvandler ørsmå elektriske forstyrrelser til fullstendig systemkontroll . For å oppnå dette, retter angrepene seg mot de hierarkiske sidetabellene som administreres av GPU-ens Memory Management Unit (MMU), kritiske strukturer som bestemmer hvordan virtuelle adresser oversettes til fysiske adresser.
Problemet er at disse sidetabellene vanligvis befinner seg i beskyttede eller uforutsigbare minneområder , ikke akkurat der en angriper ønsker at de skal være for å forårsake bitendringer. Det er her såkalt «minnemassasje» kommer inn i bildet: teknikker som tvinger allokatoren til å plassere disse tabellene på fysiske steder som angriperen tidligere har identifisert som sårbare for Rowhammer.
GDDRHammer bruker delt minnetilordning for å mette allokatoren og redusere gapet mellom brukerstyrt minne og sidetabeller . GeForge fokuserer spesifikt på oppføringer i sidekatalog 0 (PD0). Ved å nøye allokere og frigjøre blokker med enhetlig virtuelt minne, lager de nye PD0-strukturer presist på en underside på 4 KB der de vet at det er mulig å indusere bit-flips.
Når disse strukturene er fanget i sårbare posisjoner, er en enkelt kritisk bitendring nok til å endre den fysiske adressepekeren til sidetabelloppføringen . Dette fører til at oppføringen ikke lenger peker til en legitim tabell, men til en forfalsket sidetabell, fullstendig kontrollert av angriperen. Fra det øyeblikket av styres all tilgang ved hjelp av denne oppføringen av reglene, tillatelsene og omdirigeringene som bestemmes av den ondsinnede koden.
Neste trinn er å utnytte et spesifikt felt i disse oppføringene som angir om den fysiske adressen samsvarer med GPU-ens lokale minne eller vertssystemets minne . Ved å endre denne verdien omdirigerer angriperen GPU-lese- og skriveoperasjoner til CPU-ens fysiske RAM via PCIe-bussen, og omgår CPU-ens egen MMU og operativsystemets skrivebeskyttelse.
I demonstrasjonene sine gikk forskerne til og med så langt som å direkte overskrive kodesegmentet fra C-standardbiblioteket i vertens minne . Mer spesifikt injiserte de maskinkode i en funksjon som ble brukt av et legitimt program med utvidede rettigheter. Når programmet utførte den modifiserte funksjonen, ble den ondsinnede koden utløst med fulle tillatelser, noe som ga angriperen en superbrukerkonsoll og full kontroll over systemet.
Innvirkning på kunstig intelligens: GPUHammer-saken
Utover systemkontroll er et annet bekymringsfullt aspekt Rowhammers effekt på påliteligheten til AI-modeller . GPUHammer fokuserer nettopp på dette problemet: hvordan en enkelt, velplassert bit-flip kan undergrave nøyaktigheten til et nevralt nettverk som kjører på GPU-en.
I et av de beskrevne eksperimentene ble en NVIDIA RTX A6000 med Ampere-arkitektur og 48 GB GDDR6 brukt til å kjøre fem forhåndstrente ImageNet-baserte AI-modeller. Under normale forhold oppnådde disse modellene en nøyaktighet på rundt 80 %. Når GPUHammer ble brukt og bitmanipulering ble utløst på kritiske minneplasseringer, falt nøyaktigheten til nivåer så lave som 0,1 %.
Det sjokkerende er at denne katastrofen bare krevde en enkelt bit-endring i minnet . Hvis vi anvender dette på produksjonsmiljøer, der AI-modeller distribueres i kritiske tjenester (fra medisinsk diagnose til anbefalingssystemer på massive plattformer), er potensialet for skade eller sabotasje klart, selv uten å eskalere privilegier til operativsystemet.
Selve GPUHammer-angrepet demonstrerer at selv om det i utgangspunktet kan virke som et forskningsprosjekt, finnes det en reell angrepsvektor mot integriteten til AI-resultater . En motstander som klarer å kjøre kode på GPU-en, selv med begrensede tillatelser, kan stille manipulere modeller for å gjøre dem ubrukelige, eller enda verre, påvirke beslutningene sine uten at noen merker det på kort sikt.
Som svar på disse resultatene har NVIDIA erkjent problemet og indikert at aktivering av ECC på GPU-en er det primære tiltaket for å redusere problemet . Dette kommer imidlertid med en pris: i AI-inferenstester ble det observert et ytelsestap på rundt 10 % og en reduksjon på omtrent 6,25 % i brukbart minne når ECC var aktivert, noe som ikke er en liten detalj for de som presser maskinvaren sin til det ytterste.
Foreslåtte avbøtende tiltak: IOMMU, ECC og deres begrensninger
Forskning peker på to hovedteknikker for å prøve å begrense disse angrepene: å aktivere IOMMU i system-BIOS og å aktivere feilrettingskoder (ECC) på GPU-er som støtter dem. Begge er nyttige, men ingen av dem er en magisk løsning.
IOMMU (Input/Output Memory Management Unit) fungerer som et oversettelses- og filtreringslag mellom enheter som GPU-en og vertsminnet . Når den er aktivert og riktig konfigurert, begrenser den grafikkortets direkte tilgang til bestemte minneområder, og forhindrer det i å fritt lese eller skrive til all systemets RAM, selv om det klarer å kapre sine egne sidetabeller.
Det praktiske problemet er at IOMMU er deaktivert som standard i mange kommersielle Linux-systemer av kompatibilitets- og ytelsesgrunner . Dette gjør et betydelig antall maskiner sårbare, spesielt i miljøer der maksimal rå GPU-ytelse prioriteres. Videre har studier vist at visse teknikker (som GeForce sin "minnemassasje") fortsatt kan ha betydelige effekter selv med noen beskyttelsesnivåer aktivert.
På den annen side er ECC utviklet for å oppdage og korrigere enkeltbitfeil i minnet , nettopp den typen feil som forårsaker Rowhammer i de fleste tilfeller. Aktivering av ECC på NVIDIAs profesjonelle GPU-er reduserer påliteligheten til angrepet betraktelig fordi bit-flips korrigeres før de har noen merkbare effekter. Denne funksjonen er imidlertid ofte deaktivert som standard på mange arbeidsstasjonskort på grunn av ytelsesstraffen den medfører, og den er rett og slett ikke tilstede på de fleste forbrukermodeller.
Det finnes også en ubehagelig nyanse: flere studier har vist at noen avanserte Rowhammer-varianter kan omgå ECC-forsvar , for eksempel ved å forårsake flerbitsendringer i samme celle eller ved å kombinere mønstre som overskrider korreksjonskapasiteten. Det er en konstant kappløp mellom de som designer begrensninger og de som studerer hvordan de kan omgå dem.
Uansett, inntil NVIDIA tilbyr spesifikke firmware-, driver- eller maskinvareløsninger for dette problemet, er forskernes generelle anbefaling klar: aktiver IOMMU i BIOS når det er mulig, og aktiver ECC på kompatible GPU-er . Aksepter den moderate ulempen med hensyn til ytelse og effektivt minne som et nødvendig onde for å forbedre sikkerheten.
Problemets utbredelse, berørte modeller og nåværende situasjon
Et av hovedspørsmålene er: hvor mange GPU-er er faktisk berørt av disse sårbarhetene? Publiserte studier gir noen konkrete ledetråder, selv om det fulle bildet fortsatt er under utvikling. GDDRHammer evaluerte 25 avanserte grafikkort med GDDR6 og fant at 16 av 17 Ampere-baserte RTX A6000-modeller var sårbare for effektive Rowhammer-angrep.
Disse funnene kommer i tillegg til dokumenterte tester på forbrukerkortene GeForce RTX 3060 og RTX 6000 Ada , som også viste et betydelig antall bit-flips under laboratorieforhold. Selv om bare tre spesifikke modeller har blitt bekreftet å være fullstendig kompromittert i komplette angrep så langt, insisterer forfatterne selv på at det ikke ville være overraskende om andre nyere grafikkort fra NVIDIA, og til og med AMD eller Intel, deler den samme akilleshælen.
Fra sluttbrukerens perspektiv betyr dette at enhver datamaskin med et NVIDIA GPU og GDDR6-minne kan være potensielt sårbar , spesielt hvis den bruker drivere og systemkonfigurasjoner som ikke aktiverer IOMMU eller ECC. Og siden rettighetseskalering skjer på maskinvarenivå, har tradisjonelle antivirus- og sikkerhetsløsninger liten eller ingen innsikt i hva som skjer, noe som gjør det vanskelig å oppdage.
Den gode nyheten, relativt sett, er at det for øyeblikket ikke finnes noen kjente tilfeller av at disse teknikkene aktivt utnyttes i virkelige angrep utenfor akademia. Forskere understreker at dette gir industrien, inkludert produsenter, et visst spillerom til å reagere ved å iverksette ytterligere tiltak før bruksklare utnyttelsessett blir tilgjengelige.
I spesielt kritiske miljøer, som store skyplattformer og store leverandører av AI-tjenester, er det vanlig å ha betydelig høyere sikkerhetsnivåer enn en stasjonær PC . Dette inkluderer strengere IOMMU-konfigurasjoner, mer omfattende overvåking og arbeidsmengdesegmentering, noe som reduserer den praktiske risikoen for et Rowhammer-angrep mot GPU-en sammenlignet med hva som kan skje på en hjemmebrukers PC eller dårlig konfigurerte servere.
NVIDIA har på sin side henvist til dokumentasjonen som tidligere ble publisert i forbindelse med et annet relatert angrep, GPUHammer, og tilbyr en referanseside med anbefalinger for konfigurasjon og begrensninger, men uten å gå inn på for mange spesifikke detaljer om disse nye GDDRHammer- og GeForge-variantene ennå.
Bildet som tegner seg er et av en iboende sårbarhet i fysikken til DRAM som har utvidet seg fra systemminne til praktisk talt alle komponenter som er avhengige av tette DRAM-celler: CPUer, tradisjonelt DDR-minne, spesifikke DDR5-moduler som de fra SK Hynix som ble berørt i 2025, minne brukt av AMD-CPUer som ZenHammer i Zen 2 og Zen 3, og nå også GDDR6 i NVIDIA GPU-er.
Per i dag tyder alt på at Rowhammer vil forbli en kampplass i lang tid fremover , både innen akademisk forskning og industri. Oppdagelsene angående NVIDIA-grafikkort med GDDR6 er en klar advarsel om at det ikke lenger er nok å bekymre seg for prosessoren eller operativsystemet: sikkerheten til grafikkmaskinvaren har blitt, enten vi liker det eller ikke, enda en brikke i puslespillet.
Med all informasjonen som er publisert så langt, er det tydelig at kombinasjonen av økende maskinvarekompleksitet, massiv avhengighet av GPU-er for AI og spilling, og fysiske sårbarheter som Rowhammer setter NVIDIA-grafikkort med GDDR6 i en prekær posisjon fra et sikkerhetssynspunkt. Selv om den praktiske risikoen for den gjennomsnittlige brukeren ikke er ekstrem for øyeblikket, gjør muligheten for å gå fra enkle bit-flips til fullstendig systemovertakelse ved hjelp av teknikker som GDDRHammer eller GeForge denne forskningen til noe produsenter, systemadministratorer og cybersikkerhetsfagfolk bør ta svært alvorlig, og starte med å gjennomgå konfigurasjoner som IOMMU og ECC der det er tilgjengelig.
