Bit2Watt: Så kan en molnhyresgäst destabilisera elnätet med legitima GPU-arbetsbelastningar

Attacken kräver ingen skadlig kod, ingen privilegieeskalering och inget intrång i nätverkskontrollsystem – hyresgästen har redan rätt att köra GPU-jobb .

Två attacktekniker och laboratorieresultat

SWMA producerade de snabbaste svängningarna (över 6 000 Hz), medan LTMA uppnådde modulering inom ramen för legitima LLM-träningsmönster . Båda teknikerna visar att en molnhyresgäst kan producera effektsvängningar långt snabbare än den milda variationen från en hushållsapparat som en luftkonditionering .

Simuleringsresultat i värsta scenariot

Forskarna modellerade effekten i två skalor:

• 1 000 synkroniserade GPU:er på ett 1 MW lokalt system: Effektsvängningarna drev den totala harmoniska distorsionen över 10%, vilket orsakade instabil spänning i 3 av 5 IEEE-matare och utlöste skyddsreläer . Attacken hade en >80% sannolikhet att orsaka kaskadfel och strömavbrott i det lokala distributionsnätet .

• Skalad till en europeisk transmissionsnätsmodell: Synkroniserade effektsvängningar vid resonansfrekvenser kunde fortplantas som interområdesvängningar över transmissionskorridorer i stor skala, vilket hotar stabiliteten på kontinental nivå .

Regulatorer var redan oroade över variabiliteten hos AI-datacenter

Bit2Watt-attacken kommer samtidigt som nätregulatorer utfärdat allt mer akuta varningar om tillförlitlighetsriskerna med AI-datacenter.

North American Electric Reliability Corporation (NERC) har dokumenterat att AI-träningscampus i gigawattskala kan tappa 1 000+ MW på under en sekund när skyddssystem löser ut – snabbare än konventionella nätverksskydd kan reagera . I maj 2026 utfärdade NERC en sällsynt nivå 3-”Essential Actions”-alarm – dess högsta beredskapsnivå – efter flera händelser där över 1 GW datacenterbelastning kopplades bort abrupt, vilket orsakade frekvensöversvängningar och spänningsspikar . NERC har dokumenterat två specifika händelser: en i februari 2025 som tappade cirka 1 800 MW och en annan i juni 2025 som tappade cirka 1 300 MW .

NERCs 2026 State of Reliability-rapport identifierar uttryckligen pulserande och icke-linjära belastningsegenskaper hos datacenter som ett framväxande tillförlitlighetshot . Federal Energy Regulatory Commission (FERC) har sedan dess instruerat NERC att fastställa obligatoriska tillförlitlighetsstandarder för beräkningsbelastningar (inklusive AI-anläggningar) senast den 31 december 2026 .

En verklig händelse i Virginia

Dessa varningar är inte teoretiska. I början av 2025 kopplades cirka 40 datacenter i Virginias Loudoun County – ”data center alley” nära Washington, D.C. – samtidigt bort från nätet efter störningar i transmissionsnätet. Vissa rapporter säger 60 center. Den sammanlagda effektminskningen (cirka 1 500 MW) riskerade systemfel och tvingade nätoperatörer att snabbt återställa balansen .

Den 8 januari 2025 släppte NERC en granskning av incidenten, som orsakade spänningsspikar och frekvensobalanser och exponerade stora sårbarheter i Bulk Electric System . Wall Street Journal rapporterade att datacentren, som förbrukade tillräckligt med el för över en miljon hem, samtidigt hade växlat till reservkraft, vilket nästan orsakade ett kaskadströmavbrott .

Den överbelastningsfeedback-loop

Forskarna beskrev en självförstärkande överbelastningsmekanism: nätspänningsinstabilitet orsakad av effektsvängningar utlöser skyddssystem inuti datacentret, vilket stryper eller kopplar bort servrar. Detta förstärker i sin tur effektstörningen tillbaka på nätet. Datacentrets egna säkerhetssystem förvärrar nätfelet, vilket sedan ytterligare stör beräkningen – en sluten loop med dubbelriktad destabilisering .

Varför det undviker standardövervakning

Varje åtgärd hyresgästen utför är legitim molnanvändning – starta GPU-kärnor, träna modeller, konsumera allokerade beräkningscykler. Det finns ingen skadlig nyttolast, ingen utnyttjad sårbarhet och ingen obehörig åtkomst. Befintliga intrångsdetekteringssystem, antivirus och molnsäkerhetsövervakning letar efter avvikelser på programvarunivå, inte effektförbrukningsmönster. Eftersom attacken inte skapar misstänkt nätverkstrafik, filskrivningar eller processbeteende, är den osynlig för traditionella försvar .

Föreslagna åtgärder

Artikeln och nyhetsrapporterna identifierar flera typer av försvar som spänner över molnleverantörer, GPU-tillverkare och nätoperatörer:

• Moln-sidan: Övervaka GPU-effektförbrukning på hypervisor- eller anläggningsnivå för misstänkta periodiska mönster; begränsa eller flagga högfrekvent effektmodulering .
• GPU-tillverkare: Ändra GPU-firmware eller drivrutiner för att lägga till ett ”effektutjämningsläge” som dämpar snabba strömväxlingar under nätverkssignifikanta frekvenser .
• Nät-sidan: Installera kraftelektronikfilter (t.ex. aktiva harmoniska kompensatorer) vid datacentrets anslutningspunkt för att blockera högfrekventa belastningssvängningar från att nå nätet .
• Reglering: FERCs kommande obligatoriska tillförlitlighetsstandarder för beräkningsbelastningar bör inkludera moduleringsgränser och krav på realtidsövervakning av belastning .

Varför gemensamt försvar behövs nu

Författarna hävdar att Bit2Watt-attacken befinner sig i skärningspunkten mellan tre distinkta domäner – molndatorer, GPU-hårdvarudesign och elkraftsystem – där var och en för närvarande opererar med oberoende säkerhetsmodeller och utan synlighet över domänerna. Ingen enskild aktör kan fullt ut mildra den :

• Molnleverantörer kontrollerar hyresgästmiljön men har ingen auktoritet över nätutrustning.
• GPU-tillverkare kan ändra chipbeteende men kan inte påtvinga driftsättning.
• Kraftsystemoperatörer kan skydda nätet men kan inte se inuti molnarbetsbelastningar.

Attackklassen kan vara operativ år innan de separata branscherna koordinerar ett försvar. Författarna efterlyser förebyggande gemensamma standarder och mekanismer för informationsdelning i realtid innan en motståndare beväpnar tekniken i verkligheten .