Bit2Watt: Jak legalne obciążenie GPU może zdestabilizować sieć energetyczną

Oto, co ujawniają badania i dlaczego regulatorzy sieci traktują to jako poważne, pojawiające się zagrożenie.

Jak działa Bit2Watt: Pobór mocy GPU jako broń

Pobór mocy elektrycznej GPU jest bezpośrednio związany z jego obciążeniem obliczeniowym: intensywne obliczenia oznaczają wysoki prąd, a stan bezczynności – niski prąd. Złośliwy najemca chmury po prostu przełącza się między tymi stanami, wykorzystując legalne obciążenia GPU. Powoduje to kontrolowane oscylacje mocy w gniazdku ściennym, które propagują się przez infrastrukturę energetyczną centrum danych do lokalnej sieci .

Atak nie wymaga złośliwego oprogramowania, eskalacji uprawnień ani włamania do systemów sterowania siecią – najemca ma już prawo do uruchamiania zadań GPU .

Dwie techniki ataku i wyniki laboratoryjne

SWMA wygenerował najszybsze oscylacje (ponad 6000 Hz), podczas gdy LTMA osiągnął modulację w zakresie typowym dla legalnego treningu modeli językowych . Obie techniki pokazują, że najemca chmury jest w stanie wywołać wahania mocy znacznie szybsze niż te związane z pracą typowego urządzenia domowego, takiego jak klimatyzator .

Wyniki symulacji najgorszego scenariusza

Naukowcy modelowali wpływ na dwóch poziomach:

• 1000 zsynchronizowanych GPU w lokalnym systemie o mocy 1 MW: Oscylacje mocy spowodowały całkowite zniekształcenie harmoniczne prądu (THD) powyżej 10%, co doprowadziło do niestabilnego napięcia w 3 z 5 wzorcowych sieci dystrybucyjnych IEEE i zadziałania przekaźników zabezpieczeniowych . Atak miał ponad 80% prawdopodobieństwa wywołania kaskadowych awarii i blackoutów w lokalnej sieci dystrybucyjnej .

• W modelu europejskiej sieci przesyłowej: Zsynchronizowane oscylacje mocy na częstotliwościach rezonansowych mogą propagować się jako oscylacje międzyobszarowe w korytarzach przesyłowych dalekiego zasięgu, zagrażając stabilności na skalę kontynentalną .

Regulatorzy byli już zaniepokojeni zmiennością obciążenia centrów danych AI

Atak Bit2Watt pojawia się w momencie, gdy regulatory sieci wydają coraz pilniejsze ostrzeżenia dotyczące ryzyka niezawodności związanego z centrami danych AI.

North American Electric Reliability Corporation (NERC) udokumentował, że kampusy treningowe AI o mocy gigawatów mogą stracić ponad 1000 MW w mniej niż sekundę w przypadku zadziałania systemów zabezpieczeń – szybciej, niż mogą zareagować konwencjonalne zabezpieczenia sieci . W maju 2026 r. NERC wydał rzadki alert Poziomu 3 „Essential Actions” – najwyższego stopnia pilności – po kilku zdarzeniach, w których ponad 1 GW obciążenia centrum danych odłączył się gwałtownie, powodując przeregulowanie częstotliwości i skoki napięcia . NERC udokumentował dwa konkretne zdarzenia: jedno z lutego 2025 r., które odłączyło około 1800 MW, i drugie z czerwca 2025 r., które odłączyło około 1300 MW .

Raport NERC o stanie niezawodności za 2026 r. wyraźnie identyfikuje impulsowe i nieliniowe charakterystyki obciążenia centrów danych jako pojawiające się zagrożenie dla niezawodności . Federalna Komisja Regulacji Energetyki (FERC) nakazała NERC ustanowienie obowiązkowych standardów niezawodności dla obciążeń obliczeniowych (w tym obiektów AI) do 31 grudnia 2026 r. .

Bliski wypadek w Wirginii

Te ostrzeżenia nie są teoretyczne. Na początku 2025 r. około 40 centrów danych w hrabstwie Loudoun w Wirginii – „alei centrów danych” w pobliżu Waszyngtonu – jednocześnie odłączyło się od sieci po zakłóceniach w przesyłaniu energii. Niektóre raporty mówią o 60 centrach. Łączny spadek obciążenia (około 1500 MW) groził awarią systemu i zmusił operatorów do pospiesznego przywracania równowagi .

8 stycznia 2025 r. NERC opublikował przegląd incydentu, który spowodował skoki napięcia i nierównowagę częstotliwości, ujawniając poważne luki w systemie przesyłowym . The Wall Street Journal podał, że centra danych, zużywające energię wystarczającą dla ponad miliona domów, jednocześnie przełączyły się na zasilanie rezerwowe, prawie powodując kaskadowy blackout .

Pętla sprzężenia zwrotnego typu odmowa usługi (DoS)

Naukowcy opisali samonapędzający się mechanizm DoS: niestabilność napięcia w sieci spowodowana oscylacjami mocy uruchamia systemy ochrony wewnątrz centrum danych, które ograniczają lub odłączają serwery. To z kolei wzmacnia zaburzenie mocy z powrotem do sieci. Własne systemy bezpieczeństwa infrastruktury obliczeniowej pogłębiają awarię sieci, która następnie jeszcze bardziej zakłóca działanie obliczeń – to zamknięta pętla dwukierunkowej destabilizacji .

Dlaczego atak omija standardowe monitorowanie chmury

Każda operacja wykonywana przez najemcę jest legalnym użyciem chmury – uruchamianie jąder GPU, trenowanie modeli, korzystanie z przydzielonych cykli obliczeniowych. Nie ma złośliwego ładunku, wykorzystanej luki ani nieautoryzowanego dostępu. Istniejące systemy wykrywania włamań (IDS), programy antywirusowe i narzędzia do monitorowania bezpieczeństwa chmury szukają anomalii na poziomie oprogramowania, a nie wzorców zużycia energii. Ponieważ atak nie generuje podejrzanego ruchu sieciowego, zapisu plików ani nietypowego zachowania procesów, jest niewidoczny dla tradycyjnych zabezpieczeń .

Proponowane środki zaradcze

Artykuł i raporty prasowe identyfikują kilka klas obrony, obejmujących dostawców chmury, producentów GPU i operatorów sieci:

• Po stronie chmury: Monitorowanie poboru mocy GPU na poziomie hypervisora lub obiektu pod kątem podejrzanych, okresowych wzorców; ograniczanie szybkości lub flagowanie modulacji mocy o wysokiej częstotliwości .
• Producent GPU: Modyfikacja firmware'u lub sterowników GPU w celu dodania trybu „wygładzania mocy”, który tłumi gwałtowne wahania prądu poniżej częstotliwości istotnych dla sieci .
• Po stronie sieci: Instalowanie filtrów energoelektronicznych (np. aktywnych kompensatorów wyższych harmonicznych) w punkcie wspólnego przyłączenia centrum danych, aby blokować oscylacje obciążenia o wysokiej częstotliwości, zanim dotrą do sieci .
• Regulacyjne: Nadchodzące obowiązkowe standardy niezawodności FERC dla obciążeń obliczeniowych powinny uwzględniać limity modulacji i wymagania dotyczące monitorowania obciążenia w czasie rzeczywistym .

Dlaczego wspólna obrona jest potrzebna teraz

Autorzy argumentują, że atak Bit2Watt leży na skrzyżowaniu trzech odrębnych dziedzin – chmury obliczeniowej, projektowania sprzętu GPU i elektroenergetyki – z których każda działa obecnie w oparciu o niezależne modele bezpieczeństwa i bez możliwości monitorowania zagrożeń między dziedzinami. Żaden pojedynczy podmiot nie jest w stanie w pełni mu przeciwdziałać :

• Dostawcy chmury kontrolują środowisko najemcy, ale nie mają uprawnień do urządzeń sieciowych.
• Producenci GPU mogą modyfikować zachowanie układów, ale nie mogą narzucić ich wdrożenia.
• Operatorzy systemów elektroenergetycznych mogą chronić sieć, ale nie widzą obciążeń w chmurze.

Ta klasa ataku może być gotowa do użycia na długo, zanim poszczególne branże skoordynują obronę. Autorzy apelują o uprzedzające ustanowienie wspólnych standardów i mechanizmów wymiany informacji w czasie rzeczywistym, zanim przeciwnik uzbroi tę technikę w rzeczywistym środowisku .