Bit2Watt: 악성 클라우드 테넌트, GPU 사용만으로 전력망 불안정 초래

이 공격은 악성코드, 권한 상승, 또는 전력망 제어 시스템 침입이 전혀 필요 없습니다. 테넌트는 이미 GPU 작업을 실행할 권한을 가지고 있기 때문입니다 .

두 가지 공격 기술 및 실험실 결과

SWMA는 가장 빠른 6,000Hz 이상의 진동을 만들어냈고, LTMA는 정상적인 LLM 학습 패턴의 범위 내에서 변조를 달성했습니다 . 두 기술 모두 클라우드 테넌트가 가정용 에어컨 같은 기기보다 훨씬 빠른 전력 변동을 생성할 수 있음을 보여줍니다 .

최악의 시뮬레이션 결과

연구진은 두 가지 규모에서 영향을 모델링했습니다:

• 1MW 로컬 시스템에서 1,000개의 동기화된 GPU: 전력 변동은 총 고조파 왜곡(THD)을 10% 이상으로 끌어올려, 5개의 IEEE 벤치마크 배전 피더 중 3개에서 불안정한 전압을 유발하고 보호 계전기를 작동시켰습니다 . 이 공격은 로컬 배전망에서 연쇄 고장 및 정전이 발생할 확률이 80% 이상인 것으로 나타났습니다 .

• 유럽 송전망 모델로 확장: 공진 주파수에서 동기화된 전력 진동은 광역 송전 회랑을 가로질러 '지역 간 진동'으로 전파되어 대륙 규모의 안정성을 위협할 수 있습니다 .

규제 기관, AI 데이터센터 부하 변동성에 이미 경고

Bit2Watt 공격이 공개된 시점은, 이미 전력망 규제 기관들이 AI 데이터센터의 신뢰성 위험에 대해 점점 더 긴급한 경고를 발령하고 있는 때입니다.

북미 전력 신뢰성 공사(NERC)는 기가와트(GW) 규모의 AI 학습 캠퍼스가 보호 시스템 작동 시 1초 안에 1,000MW 이상을 차단할 수 있다고 문서화했습니다. 이는 기존의 전력망 안전장치가 대응할 수 있는 속도보다 빠릅니다 . 2026년 5월, NERC는 1GW가 넘는 데이터센터 부하가 갑자기 차단되어 주파수 overshoot 및 전압 스파이크를 유발한 여러 사건 이후, 가장 높은 긴급도를 나타내는 드문 레벨 3 '필수 조치(Essential Actions)' 경보를 발령했습니다 . NERC는 2025년 2월 약 1,800MW를 차단한 사건과 2025년 6월 약 1,300MW를 차단한 사건을 구체적으로 문서화했습니다 .

NERC의 2026년 신뢰성 보고서는 데이터센터의 펄스형 및 비선형 부하 특성을 새로운 신뢰성 위협으로 명시적으로 지목했습니다 . 미국 연방 에너지 규제 위원회(FERC)는 이후 NERC에 2026년 12월 31일까지 컴퓨팅 부하(AI 시설 포함)에 대한 강제 신뢰성 기준을 마련하도록 지시했습니다 .

버지니아주에서 발생한 실제 아찔한 사례

이러한 경고는 이론에 그치지 않습니다. 2025년 초, 워싱턴 D.C. 인근 '데이터센터 밸리'로 불리는 버지니아주 라우던 카운티의 약 40개 데이터센터가 송전선 교란 이후 동시에 전력망에서 분리되었습니다. 일부 보고서에 따르면 60개 센터가 차단되었습니다. 이로 인한 총 부하 손실(약 1,500MW)은 시스템 고장 위험을 초래했고, 계통 운영자들은 비상 균형을 맞추기 위해 급히 움직여야 했습니다 .

2025년 1월 8일, NERC는 이 사건에 대한 검토 보고서를 발표했으며, 해당 사건으로 전압 스파이크와 주파수 불균형이 발생하여 주요 전력 시스템(Bulk Electric System)의 취약점이 드러났다고 밝혔습니다 . 월스트리트 저널은 100만 가구 이상에 공급할 수 있는 전력을 소비하던 데이터센터들이 동시에 백업 발전으로 전환하여 거의 대규모 정전 사태로 이어질 뻔했다고 보도했습니다 .

서비스 거부(DoS) 피드백 루프

연구진은 자기 강화형 DoS 메커니즘을 설명했습니다. GPU 전력 변동으로 인한 계통 전압 불안정이 데이터센터 내부의 보호 시스템을 작동시키고, 이로 인해 서버가 throttling되거나 차단됩니다. 이는 다시 전력 교란을 증폭시켜 전력망으로 되돌려 보냅니다. 컴퓨팅 인프라 자체의 안전 시스템이 전력망 고장을 악화시키고, 이는 다시 컴퓨팅을 방해하는 폐쇄 루프, 양방향 불안정화가 발생하는 것입니다 .

기존 클라우드 모니터링을 회피하는 이유

테넌트가 수행하는 모든 작업은 GPU 커널 실행, 모델 학습, 할당된 컴퓨팅 사이클 사용 등 정상적인 클라우드 사용 패턴입니다. 악성 페이로드나 취약점 악용, 무단 접근이 없습니다. 기존의 침입 탐지 시스템(IDS), 안티바이러스, 클라우드 보안 모니터링은 소프트웨어 수준의 이상 징후만 찾기 때문에 전력 소모 패턴은 탐지하지 못합니다. 이 공격은 의심스러운 네트워크 트래픽, 파일 쓰기, 프로세스 행동을 생성하지 않으므로 기존 방어 체계에 완전히 보이지 않습니다 .

제안된 완화 방안

논문과 뉴스 보도는 클라우드 제공업체, GPU 제조업체, 계통 운영자에 걸친 여러 방어 계층을 식별했습니다:

• 클라우드 측: 하이퍼바이저 또는 시설 수준에서 GPU 전력 소모를 모니터링하여 의심스러운 주기적 패턴 탐지; 고주파 전력 변조에 속도 제한 또는 플래그 지정 .
• GPU 제조업체: GPU 펌웨어 또는 드라이버를 수정하여 급격한 전류 변동을 계통에 영향을 주지 않는 주파수 이하로 완화하는 '전력 평활화(power smoothing)' 모드 추가 .
• 계통 측: 데이터센터의 공통 결합 지점(Point of Common Coupling)에 전력 전자 필터(예: 능동 고조파 보상기)를 배치하여 고주파 부하 진동이 계통으로 전파되는 것을 차단 .
• 규제: FERC의 예정된 컴퓨팅 부하 강제 신뢰성 기준에 변조 한도 및 실시간 부하 모니터링 요구 사항을 포함 .

지금 공동 방어가 필요한 이유

저자들은 Bit2Watt 공격이 클라우드 컴퓨팅, GPU 하드웨어 설계, 전력 시스템이라는 세 개의 별개 영역의 교차점에 있으며, 각 영역은 현재 독립적인 보안 모델을 가지고 있어 영역 간 위협 가시성이 전혀 없다고 주장합니다. 단일 주체만으로는 이 공격을 완전히 완화할 수 없습니다 :

• 클라우드 제공업체는 테넌트 환경을 통제하지만 계통 장비에 대한 권한이 없습니다.
• GPU 제조업체는 칩 동작을 수정할 수 있지만 배포를 강제할 수 없습니다.
• 전력 시스템 운영자는 계통을 보호할 수 있지만 클라우드 워크로드 내부를 볼 수 없습니다.

이 공격 클래스는 관련 산업 간의 방어 협력이 이루어지기 몇 년 전에 실제로 작동될 수 있습니다. 저자들은 공격자가 이 기술을 실제로 무기화하기 전에 선제적인 공동 표준과 실시간 정보 공유 메커니즘을 마련할 것을 촉구합니다 .