Арендатор облака может расшатать электросеть с помощью всего лишь арендованного GPU, говорят исследователи

Центры обработки данных ИИ и без того создают нагрузку на энергосети просто в процессе своей работы. В новой научной статье задается более мрачный вопрос: что, если злоумышленник попытается вывести ее из строя намеренно?

Три исследователя из Чжэцзянского университета изложили эту идею в препринте под названием Bit2Watt, принятом на престижную конференцию по аппаратной безопасности. Как сообщило издание The Register, в нем рассматривается сценарий, где в роли атакующего выступает платящий клиент.

Как это работает

Фокус основан на простом факте: энергопотребление графического процессора напрямую зависит от того, какие вычисления он выполняет. Дайте ему максимальную нагрузку — и ток резко возрастет. Переведите в режим простоя — и ток упадет.

Переключаясь между этими состояниями по определенному расписанию, можно вызвать управляемые колебания мощности в розетке. Исследователи разогнали этот процесс до более чем 6 000 раз в секунду — намного быстрее, чем плавные колебания от бытовых приборов вроде кондиционера.

Они продемонстрировали два способа реализации. Первый использует специально созданную рабочую нагрузку, которую провайдер может научиться распознавать. Второй, более сложный для обнаружения, маскирует паттерн внутри реального процесса обучения ИИ, где он сливается с обычным шумом. Ни один из способов не требует специальных привилегий, поскольку арендатор и так управляет собственными задачами.

Тревожная цифра и оговорка

В одиночку один GPU делает немного. Опасность, как утверждается в статье, кроется в масштабе. В работе смоделирована ситуация, когда 1,000 графических процессоров пульсируют в идеальном унисоне в небольшой энергосистеме, питающейся в основном от солнечных батарей и аккумуляторов.

В этом худшем сценарии смоделированная сеть становится нестабильной, растрачивая почти половину своего тока впустую и перегреваясь. При переносе на модель европейской передающей сети небольшое локальное возмущение вызывает цепную реакцию, приводящую к отключению примерно 81% нагрузки.

И вот тут кроется оговорка. Как часто приходится подчеркивать в материалах об облачных атаках, эта цифра является следствием конкретной симуляции с набором допущений о наихудшем развитии событий, а не прогнозом. Вся атака держится на возможности заставить реальный парк облачных GPU пульсировать в идеальной синхронизации, что, как признают авторы, пока не решенная задача. Никакие реальные системы атакованы не были.

Основано на реальной физике

От превращения в чистую теорию эту работу удерживает тот факт, что физика процесса задокументирована. В 2025 году компании Microsoft, OpenAI и Nvidia предупредили, что синхронизированные скачки мощности при масштабных задачах обучения могут повредить инфраструктуру электросетей, если их ритм совпадает с частотой коммунальных служб. Meta указала на тот же риск при обучении Llama 3.

Энергосети уже пережили случайное потрясение. В июле 2024 года авария в районе Северной Вирджинии, где сосредоточено множество дата-центров, единовременно отключила от сети около 1 500 мегаватт нагрузки. Регуляторы заявили об отсутствии кризиса, но создали специальную рабочую группу для изучения этой угрозы по мере того, как множатся такие энергоемкие объекты.

Обратная связь и отсутствие уязвимости для патча

Исследователи также описывают обратную связь, которую они называют Watt2Bit. Та же электрическая нагрузка, которая расшатывает энергосеть, способна перегреть серверы, вызвав срабатывание их защиты и вывод их из строя. Проблема с питанием превращается в отказ в обслуживании.

Неприятность заключается в том, что здесь нет программной ошибки, которую можно исправить патчем. Стандартный мониторинг замеряет мощность слишком медленно, чтобы уловить быстрое мерцание. Более глубокая проблема кроется в самом дизайне. Нестабильные нагрузки от GPU теперь находятся в энергосистеме, полной солнечных инверторов, и ничто не осуществляет сквозной мониторинг между ними.

По мере того как центры обработки данных и зависящие от них энергосети все сильнее переплетаются, они продолжают управляться разными компаниями и контролироваться разными инструментами. У этого стыка, как подразумевается в статье, нет единого хозяина. Решения для каждой из сторон существуют, но объединение их воедино еще впереди, даже несмотря на то, что бум ИИ-инфраструктуры стремительно несется вперед.