Bit2Watt : quand un locataire cloud fait vaciller le réseau électrique avec des charges GPU légitimes

L'attaque ne nécessite aucun malware, aucune élévation de privilèges et aucune intrusion dans les systèmes de contrôle du réseau : le locataire a déjà le droit d'exécuter des tâches GPU .

Deux techniques d'attaque et résultats en laboratoire

SWMA a produit les oscillations les plus rapides (plus de 6 000 Hz), tandis que LTMA a obtenu une modulation dans la plage des modèles d'entraînement de LLM légitimes . Les deux techniques démontrent qu'un locataire cloud peut produire des variations de puissance bien plus rapides que la variation douce d'un appareil électroménager comme un climatiseur .

Résultats de simulation dans le pire des cas

Les chercheurs ont modélisé l'impact à deux échelles :

• 1 000 GPU synchronisés sur un système local de 1 MW : les oscillations de puissance ont entraîné une distorsion harmonique totale supérieure à 10 %, provoquant une tension instable dans 3 des 5 feeders de distribution de référence IEEE et déclenchant le déclenchement des relais de protection . L'attaque avait une probabilité >80 % de provoquer des pannes en cascade et des blackouts dans le réseau de distribution local .

• Adapté à un modèle de réseau de transport européen : des oscillations de puissance synchronisées à des fréquences de résonance pourraient se propager sous forme d'oscillations inter-zones à travers les corridors de transport à grande échelle, menaçant la stabilité à l'échelle continentale .

Les régulateurs étaient déjà alarmés par la volatilité de la charge des data centers IA

L'attaque Bit2Watt arrive alors que les régulateurs du réseau émettent des avertissements de plus en plus urgents sur les risques de fiabilité posés par les data centers IA.

La North American Electric Reliability Corporation (NERC) a documenté que les campus d'entraînement IA à l'échelle du gigawatt peuvent perdre 1 000+ MW en moins d'une seconde lorsque les systèmes de protection se déclenchent, plus rapidement que les protections conventionnelles du réseau ne peuvent réagir . En mai 2026, NERC a émis une rare alerte de niveau 3 « Actions essentielles » — son plus haut niveau d'urgence — après plusieurs événements où plus de 1 GW de charge de data center s'est déconnecté brusquement, provoquant des dépassements de fréquence et des pics de tension . NERC a documenté deux événements spécifiques : l'un en février 2025 qui a perdu environ 1 800 MW et un autre en juin 2025 qui a perdu environ 1 300 MW .

Le rapport 2026 de NERC sur l'état de la fiabilité identifie explicitement les caractéristiques de charge pulsée et non linéaire des data centers comme une menace émergente pour la fiabilité . La Federal Energy Regulatory Commission (FERC) a depuis demandé à NERC d'établir des normes de fiabilité obligatoires pour les charges informatiques (y compris les installations IA) d'ici le 31 décembre 2026 .

Un quasi-accident réel en Virginie

Ces avertissements ne sont pas théoriques. Début 2025, environ 40 data centers dans le comté de Loudoun, en Virginie — la « Data Center Alley » près de Washington, D.C. — se sont simultanément déconnectés du réseau après des perturbations de transmission. Certains rapports mentionnent 60 centres déconnectés. La perte de charge combinée (environ 1 500 MW) a risqué une défaillance du système et a forcé les opérateurs du réseau à se démener pour rétablir l'équilibre d'urgence .

Le 8 janvier 2025, NERC a publié un examen de l'incident, qui a provoqué des pics de tension et des déséquilibres de fréquence, exposant des vulnérabilités majeures du Bulk Electric System . Le Wall Street Journal a rapporté que les data centers, consommant assez d'électricité pour plus d'un million de foyers, étaient passés simultanément à l'alimentation de secours, manquant de peu un blackout en cascade .

La boucle de rétroaction de déni de service

Les chercheurs ont décrit un mécanisme DoS auto-renforçant : l'instabilité de la tension du réseau provoquée par les oscillations de puissance déclenche les systèmes de protection à l'intérieur du data center, qui limitent ou déconnectent les serveurs. Cela amplifie à son tour la perturbation de puissance sur le réseau. Les propres systèmes de sécurité de l'infrastructure informatique aggravent la défaillance du réseau, qui perturbe ensuite davantage l'informatique — une boucle fermée de déstabilisation bidirectionnelle .

Pourquoi cela échappe à la surveillance cloud standard

Chaque opération effectuée par le locataire est une utilisation cloud légitime — lancer des noyaux GPU, entraîner des modèles, consommer des cycles de calcul alloués. Il n'y a pas de charge utile malveillante, pas de vulnérabilité exploitée et pas d'accès non autorisé. Les systèmes de détection d'intrusion existants, les antivirus et la surveillance de sécurité cloud recherchent des anomalies au niveau logiciel, pas des modèles de consommation d'énergie. Comme l'attaque ne crée aucun trafic réseau suspect, aucune écriture de fichier ni aucun comportement de processus, elle est invisible pour les défenses traditionnelles .

Mesures d'atténuation proposées

L'article et les rapports de presse identifient plusieurs classes de défense couvrant les fournisseurs cloud, les fabricants de GPU et les opérateurs de réseau :

• Côté cloud : surveiller la consommation électrique du GPU au niveau de l'hyperviseur ou de l'installation pour détecter des motifs périodiques suspects ; limiter ou signaler la modulation de puissance haute fréquence .
• Fabricants de GPU : modifier le firmware ou les pilotes GPU pour ajouter un mode « lissage de puissance » qui amortit les variations rapides de courant en dessous des fréquences significatives pour le réseau .
• Côté réseau : déployer des filtres d'électronique de puissance (par exemple, des compensateurs harmoniques actifs) au point de couplage commun du data center pour bloquer les oscillations de charge haute fréquence avant qu'elles n'atteignent le réseau .
• Réglementaire : les futures normes de fiabilité obligatoires de la FERC pour les charges informatiques devraient inclure des limites de modulation et des exigences de surveillance de la charge en temps réel .

Pourquoi des défenses conjointes sont nécessaires maintenant

Les auteurs soutiennent que l'attaque Bit2Watt se situe à l'intersection de trois domaines distincts — le cloud computing, la conception matérielle des GPU et les systèmes électriques — chacun fonctionnant actuellement avec des modèles de sécurité indépendants et aucune visibilité transversale des menaces. Aucun acteur ne peut l'atténuer complètement :

• Les fournisseurs cloud contrôlent l'environnement locataire mais n'ont aucune autorité sur les équipements du réseau.
• Les fabricants de GPU peuvent modifier le comportement des puces mais ne peuvent pas imposer leur déploiement.
• Les opérateurs de systèmes électriques peuvent protéger le réseau mais ne peuvent pas voir à l'intérieur des charges de travail cloud.

Cette classe d'attaque pourrait être opérationnelle des années avant que les différentes industries ne coordonnent une défense. Les auteurs appellent à l'établissement préventif de normes conjointes et de mécanismes de partage d'informations en temps réel avant qu'un adversaire n'utilise la technique dans la nature .