Bit2Watt: l'attacco che usa le GPU per destabilizzare la rete elettrica senza malware né exploit

I ricercatori della Zhejiang University hanno svelato una nuova classe di attacco cyberfisico chiamata Bit2Watt che inverte il modello classico di attacco alla rete elettrica. Invece di compromettere sensori, rubare credenziali o installare malware, un tenant cloud malintenzionato si limita a eseguire carichi di lavoro GPU legittimi per destabilizzare la rete elettrica che alimenta il data center . Il preprint, firmato da Zhouhao Ji, Kaikai Pan e Wenyuan Xu, è stato accettato per CHES 2026, la principale conferenza di sicurezza hardware dell'IACR .

Ecco cosa rivela la ricerca e perché gli enti regolatori della rete lo stanno già trattando come una minaccia emergente seria.

Come funziona Bit2Watt: l'assorbimento di potenza della GPU come arma

L'assorbimento di potenza elettrica di una GPU segue direttamente il suo carico di calcolo: calcoli pesanti richiedono corrente elevata; l'idle richiede corrente bassa. Un tenant cloud malintenzionato alterna semplicemente questi stati utilizzando carichi di lavoro GPU legittimi. Questo crea oscillazioni di potenza controllabili alla presa a muro che si propagano attraverso l'infrastruttura elettrica della struttura fino alla rete locale .

L'attacco non richiede malware, nessuna escalation di privilegi e nessuna intrusione nei sistemi di controllo della rete: il tenant ha già il diritto di eseguire lavori GPU .

Due tecniche d'attacco e risultati di laboratorio

Tecnica	Approccio	Frequenza di modulazione massima
SWMA (Synthetic Workload Modulation Attack)	Kernel CUDA personalizzati che alternano rapidamente la GPU tra stati di carico computazionale intenso e idle	Fino a 6.000 Hz su GPU Nvidia
LTMA (LLM Training Modulation Attack)	Manipolazione del ciclo di addestramento di un modello linguistico di grandi dimensioni legittimo per creare fluttuazioni periodiche di potenza	Frequenza più bassa, ma più difficile da distinguere dall'addestramento AI normale

SWMA ha prodotto le oscillazioni più veloci (oltre 6.000 Hz), mentre LTMA ha raggiunto una modulazione nell'intervallo dei modelli di addestramento LLM legittimi . Entrambe le tecniche dimostrano che un tenant cloud può produrre oscillazioni di potenza molto più veloci del movimento graduale di un elettrodomestico come un condizionatore d'aria .

Risultati della simulazione nel caso peggiore

I ricercatori hanno modellato l'impatto su due scale:

• 1.000 GPU sincronizzate su un sistema locale da 1 MW: le oscillazioni di potenza hanno portato la distorsione armonica totale oltre il 10%, causando tensione instabile in 3 dei 5 feeder di distribuzione di riferimento IEEE e innescando l'intervento dei relè di protezione . L'attacco aveva una probabilità >80% di causare guasti a cascata e blackout nella rete di distribuzione locale .

• Scalato a un modello di rete di trasmissione europea: oscillazioni di potenza sincronizzate a frequenze di risonanza potrebbero propagarsi come oscillazioni inter-area attraverso i corridoi di trasmissione su larga scala, minacciando la stabilità a livello continentale .

Gli enti regolatori erano già allarmati dalla volatilità del carico dei data center AI

L'attacco Bit2Watt arriva mentre gli enti regolatori della rete emettevano avvertimenti sempre più urgenti sui rischi di affidabilità dei data center AI.

La North American Electric Reliability Corporation (NERC) ha documentato che i campus di addestramento AI su scala gigawatt possono perdere oltre 1.000 MW in meno di un secondo quando i sistemi di protezione intervengono, più velocemente di quanto le salvaguardie convenzionali della rete possano rispondere . Nel maggio 2026, la NERC ha emesso un raro allarme di "Azioni Essenziali" di Livello 3 — il suo livello di massima urgenza — dopo molteplici eventi in cui oltre 1 GW di carico del data center si è disconnesso bruscamente, causando superamento della frequenza e picchi di tensione . La NERC ha documentato due eventi specifici: uno nel febbraio 2025 che ha perso circa 1.800 MW e un altro nel giugno 2025 che ha perso circa 1.300 MW .

Il rapporto "State of Reliability" 2026 della NERC identifica esplicitamente le caratteristiche di carico pulsato e non lineare dei data center come una minaccia emergente per l'affidabilità . La Federal Energy Regulatory Commission (FERC) ha da allora incaricato la NERC di stabilire standard di affidabilità obbligatori per i carichi computazionali (inclusi gli impianti AI) entro il 31 dicembre 2026 .

Un quasi-incidente reale in Virginia

Questi avvertimenti non sono teorici. All'inizio del 2025, circa 40 data center nella contea di Loudoun, in Virginia — il "viale dei data center" vicino a Washington, D.C. — si sono contemporaneamente disconnessi dalla rete dopo disturbi di trasmissione. Alcuni rapporti parlano di 60 centri fuori uso. Il calo di carico combinato (circa 1.500 MW) ha rischiato il collasso del sistema e ha costretto gli operatori della rete a cercare in fretta un equilibrio di emergenza .

L'8 gennaio 2025, la NERC ha pubblicato una revisione dell'incidente, che ha causato picchi di tensione e squilibri di frequenza, esponendo importanti vulnerabilità del Bulk Electric System . Il Wall Street Journal ha riportato che i data center, consumando abbastanza energia per oltre un milione di case, erano passati contemporaneamente alla generazione di backup, quasi causando un blackout a catena .

Il ciclo di feedback del denial-of-service

I ricercatori hanno descritto un meccanismo di DoS auto-rafforzante: l'instabilità della tensione di rete causata dalle oscillazioni di potenza innesca i sistemi di protezione all'interno del data center, che limitano o disconnettono i server. Questo a sua volta amplifica il disturbo di potenza sulla rete. I sistemi di sicurezza dell'infrastruttura di calcolo peggiorano il guasto della rete, che poi interrompe ulteriormente il calcolo: un circuito chiuso di destabilizzazione bidirezionale .

Perché elude il monitoraggio cloud standard

Ogni operazione eseguita dal tenant è un utilizzo legittimo del cloud: avviare kernel GPU, addestrare modelli, consumare cicli di calcolo allocati. Non c'è payload malevolo, nessuna vulnerabilità sfruttata e nessun accesso non autorizzato. I sistemi di rilevamento delle intrusioni, gli antivirus e il monitoraggio della sicurezza cloud esistenti cercano anomalie a livello software, non modelli di consumo energetico. Poiché l'attacco non crea traffico di rete sospetto, scritture di file o comportamenti di processo, è invisibile alle difese tradizionali .

Mitigazioni proposte

Il documento e i rapporti giornalistici identificano diverse classi di difesa che coinvolgono provider cloud, produttori di GPU e operatori di rete:

• Lato cloud: monitorare l'assorbimento di potenza della GPU a livello di hypervisor o struttura per schemi periodici sospetti; limitare o segnalare la modulazione di potenza ad alta frequenza .
• Produttori di GPU: modificare il firmware o i driver della GPU per aggiungere una modalità di "power smoothing" che attenui le rapide oscillazioni di corrente al di sotto delle frequenze significative per la rete .
• Lato rete: implementare filtri elettronici di potenza (ad esempio, compensatori armonici attivi) al punto di accoppiamento comune del data center per bloccare le oscillazioni di carico ad alta frequenza prima che raggiungano la rete .
• Regolatorio: i futuri standard di affidabilità obbligatori della FERC per i carichi computazionali dovrebbero includere limiti di modulazione e requisiti di monitoraggio del carico in tempo reale .

Perché sono necessarie difese congiunte ora

Gli autori sostengono che l'attacco Bit2Watt si trova all'intersezione di tre domini distinti — cloud computing, progettazione hardware GPU e sistemi di energia elettrica — ciascuno dei quali attualmente opera con modelli di sicurezza indipendenti e nessuna visibilità incrociata delle minacce. Nessun singolo attore può mitigarlo completamente :

• I provider cloud controllano l'ambiente del tenant ma non hanno autorità sulle apparecchiature di rete.
• I produttori di GPU possono modificare il comportamento del chip ma non possono imporne l'implementazione.
• Gli operatori del sistema elettrico possono proteggere la rete ma non possono vedere all'interno dei carichi di lavoro cloud.

La classe di attacco potrebbe essere operativa anni prima che i diversi settori coordinino una difesa. Gli autori chiedono standard congiunti preventivi e meccanismi di condivisione delle informazioni in tempo reale prima che un avversario armi la tecnica nel mondo reale .