クラウドテナントがGPUを“兵器”に？　浙江大が「Bit2Watt」攻撃の全容を発表

なぜGPUが“武器”になるのか：仕組みと驚異の周波数

Bit2Watt攻撃の原理は単純です。GPUの電力消費量は、その計算負荷に直接比例します。負荷の高い計算を実行すれば電流は急上昇し、アイドル状態になれば急降下します。悪意あるテナントは、この状態を高速で切り替えることで、壁面コンセントのレベルで制御可能な電力変動（「電力のよちよち歩き」）を生み出します。この変動は施設内の電力インフラを伝わり、地域の電力網にまで到達します 。

この攻撃には、マルウェアも、権限昇格も、グリッド制御システムへの侵入も一切必要ありません。テナントはGPUジョブを実行する権利をすでに持っているからです 。

二つの攻撃技術

研究者らは、以下の二つの異なる変調技術を開発しました。

SWMAは6,000Hz以上の高速変調を達成したのに対し、LTMAは正規のLLM訓練パターンの範囲内で変調を実現し、検出を極めて困難にしています 。研究者らは「エアコンの穏やかな負荷変動よりもはるかに速い」と表現しています 。

最悪シナリオのシミュレーション結果：80%超の停電確率

研究者らは、攻撃の影響を二つのスケールでモデル化しました。

• 1,000台のGPUを同期させた1 MWのローカルシステム：電力変動により全高調波歪み（THD）が10%を超え、IEEEベンチマークの5つの配電フィーダーのうち3つで電圧が不安定になり、保護リレーが作動しました 。この攻撃は、ローカル配電ネットワークにおいて80%超の確率でカスケード障害と停電を引き起こすとされています 。

• ヨーロッパの送電網モデルに拡大：特定の共振周波数で同期した電力変動は、広域送電回廊を横断する「地域間電力動揺」として伝播し、大陸規模の安定性を脅かす可能性があります 。

規制当局がすでに警告していたAIデータセンターの「負荷変動リスク」

Bit2Watt攻撃は、電力グリッド規制当局がAIデータセンターの信頼性リスクについて警告を強めている最中に登場しました。

北米電力信頼度確保機構（NERC）は、ギガワット規模のAI訓練キャンパスが保護システムの作動により1秒未満で1,000 MW以上の負荷を落とす事象を記録してきました。この速度は従来のグリッド安全対策では対応不可能です 。

2026年5月、NERCは最高レベルの緊急度であるレベル3「必須措置（Essential Actions）」アラートを発令しました。これは、1 GWを超えるデータセンター負荷が複数回にわたり急激に系統から脱落し、周波数オーバーシュートや電圧スパイクを引き起こしたためです 。NERCは具体的に二つの事象を記録しています。2025年2月の事象では約1,800 MWが脱落、2025年6月の事象では約1,300 MWが脱落しました 。

NERCの2026年版『State of Reliability』報告書は、データセンターのパルス状かつ非線形の負荷特性を新たな信頼性脅威として明確に位置づけています 。この状況を受け、米国連邦エネルギー規制委員会（FERC）はNERCに対し、2026年12月31日までにAI施設を含む計算負荷に対する強制信頼度基準を策定するよう指示しました 。

現実の危機一髪：バージニア州でのニアミス（2025年初頭）

これらの警告は決して理論上のものではありません。2025年初頭、米国ワシントンD.C.近郊のバージニア州ラウドン郡（通称「データセンター・アレイ」）で、約40のデータセンターが送電線の障害をきっかけに同時に系統から脱落しました。一部の報道では60施設が停止したとされています。その結果、合計で約1,500 MWもの負荷が瞬間的に喪失し、系統運用者は緊急バランス調整を余儀なくされました 。

2025年1月8日、NERCはこの事象に関する報告書を公開しました。この報告書では、電圧スパイクと周波数不均衡が発生し、大規模電力系統（Bulk Electric System）の重大な脆弱性が露呈したことが指摘されています 。ウォール・ストリート・ジャーナルは、100万世帯以上の電力を消費していたこれらのデータセンターが同時にバックアップ発電に切り替え、連鎖的な大停電（カスケードブラックアウト）を引き起こしかねなかったと報じています 。

自己増幅するDoSフィードバックループ

研究者らは、攻撃が引き起こす自己増幅型のDoS（サービス拒否）メカニズムについても説明しています。

1. GPUの電力変動がグリッドの電圧不安定化を引き起こす。
2. 電圧不安定がデータセンター内の保護システムを作動させる。
3. 保護システムがサーバーをスロットルダウンまたは切断する。
4. このサーバー負荷の変動が、さらに大きな電力擾乱としてグリッドに跳ね返る。

これは、コンピューティングインフラの安全システム自体がグリッド障害を悪化させ、それがさらにコンピューティングを妨害するという、閉ループの双方向的な不安定化メカニズムです 。

なぜ従来のクラウドセキュリティでは検出できないのか

この攻撃が特に厄介なのは、悪意あるテナントが実行するすべての操作が、完全に正規のクラウド利用として見える点にあります。GPUカーネルの起動、モデルの訓練、割り当てられた計算サイクルの消費、これらはすべて許可された行為です。

悪意のあるペイロード（実行コード）も、悪用された脆弱性も、不正なアクセスも存在しません。既存の侵入検知システム（IDS）、アンチウイルス、クラウドセキュリティ監視ツールは、ソフトウェアレベルの異常（不審なネットワークトラフィック、ファイル書き込み、プロセス動作）を検知するように設計されています。しかし、Bit2Watt攻撃はソフトウェアではなく、電力消費パターンという物理現象を利用するため、これらの従来の防御策では完全に見えないのです 。

提案されている対策：四層での連携が不可欠

研究者らと関連報道は、以下の四つの階層にわたる防御策を提案しています。

• クラウド事業者側：ハイパーバイザーまたは施設レベルでGPUの電力消費を監視し、疑わしい周期パターンや高周波の電力変調を検出・制限する 。
• GPUベンダー側：GPUのファームウェアやドライバに「電力平滑化モード」を追加し、グリッドに影響を与える周波数帯域の急激な電流変動を抑制する 。
• グリッド運用者側：データセンターの連系点（Point of Common Coupling）にパワーエレクトロニクスフィルター（例：アクティブ高調波補償装置）を設置し、高周波の負荷変動がグリッドに到達するのを遮断する 。
• 規制当局側：FERCがNERCに指示した強制信頼度基準に、負荷変調の制限とリアルタイムの負荷監視要件を含める 。

なぜ今、業界横断的な協調防御が必要なのか？

著者らは、Bit2Watt攻撃が3つの異なる領域の交差点に位置していると強調します。それは、クラウドコンピューティング、GPUハードウェア設計、そして電力システムです。これらの領域は現在、それぞれ独立したセキュリティモデルで運用されており、脅威を横断的に可視化する仕組みが全くありません。そのため、単一の主体では完全な対策を打つことができないのです 。

• クラウド事業者はテナント環境を制御できますが、グリッド機器に対する権限はありません。
• GPUベンダーはチップの動作を変更できますが、その展開を強制することはできません。
• 電力系統運用者はグリッドを保護できますが、クラウド内部のワークロードを確認することはできません。

この攻撃クラスが現実のものとなった場合、それぞれの業界が協調した防御策を準備できるまでに数年を要する可能性があります。著者らは、悪意ある攻撃者がこの技術を現実世界で悪用する前に、予防的な共同規格とリアルタイムの情報共有メカニズムの構築を強く呼びかけています 。