Een cloudtenant die niets anders gebruikt dan gewone GPU-toegang, kan het stroomverbruik van een datacenter snel genoeg op en neer duwen om het elektriciteitsnet waarop het draait te bedreigen, zonder misbruik of inbraak.
Dat is de achterliggende bewering Bit2Wattbeschreven door drie onderzoekers van de Zhejiang Universiteit in een paper dat werd geaccepteerd voor CHES 2026, de hardware-beveiligingsconferentie van de IACR, en het bewijsmateriaal splitst zich in tweeën: ze maten de vermogensmodulatie op echte GPU’s en simuleerden de netdestabilisatie die dit zou kunnen veroorzaken.
De techniek keert het gebruikelijke grid-attack-model om: geen gecompromitteerde sensoren, geen malware op besturingssystemen, geen gestolen inloggegevens van operators, alleen een werklast die is gebouwd om zich met opzet te misdragen.
Het werkt omdat het stroomverbruik van een GPU volgt wat hij aan het verwerken is. Verzadig de tensorkernen en stroompieken; zakt naar stationair, en het stort in. Schakel volgens een schema tussen deze toestanden en u krijgt een regelbare stroomoscillatie op het stopcontact.
De auteurs formuleren het als een botte vraag: “kunnen puur computationele acties, uitgevoerd als legitieme workloads, worden bewapend om de energie-infrastructuur te destabiliseren”? De rest van het artikel is hun antwoord.
Twee manieren naar binnen
De eerste methode, die ze noemen SWMAuploadt een speciaal gebouwde CUDA-kernel die schakelt tussen een rekenmodus met hoge intensiteit en een vrijwel inactieve modus. Een controller aan de hostzijde stelt het schakelschema in en schakelt de modus in via een enkele unified-memory-vlag waaraan is toegewezen cudaMallocBeheerdstandaardgereedschap in plaats van iets exotisch.
Bij de geteste GPU’s produceerde de synthetische werkbelasting vermogenscomponenten van ongeveer 1,5 kHz tot 6 kHz, met een piek op een RTX 4090, ruim boven het handjevol hertz dat een schommelende huishoudelijke belasting zoals een airconditioner produceert.
Het hield stand op datacenter-GPU’s zoals de A100 en Tesla V100, niet alleen op gamekaarten. De aangepaste kernel en de nauwe polling-loop zijn iets dat een provider zou kunnen leren vingerafdrukken te maken.
De tweede, LTMAis degene die operators zorgen zou moeten baren. In plaats van een synthetische kernel begraaft het de modulatie in een echte LLM-trainingsrun, waarbij hyperparameters worden aangepast en hulpbewerkingen worden ingevoegd om de rekenbelasting te laten stijgen en dalen zonder de training te onderbreken.
De controle is losser dan die van SWMA, begrensd door hoe snel de trainingslus itereert, en de frequenties lopen lager, ongeveer 1,2 tot 3 kHz. Maar het bereikt een grotere amplitude en gaat over in normaal trainingsgeluid, wat precies wat het moeilijker maakt om te markeren. Voor geen van beide methoden zijn verhoogde bevoegdheden nodig, omdat een tenant al zijn eigen trainingsscripts en taakschema’s beheert.
Dat zijn cijfers met één GPU, en ze bijten alleen in bulk. Het artikel modelleert de bulkcase op zijn gevaarlijkst: een gesimuleerd lokaal netwerk van 1 MW, dat voor 90% wordt aangedreven door gedistribueerde energiebronnen (de zonne-energie op het dak en de batterijen voeden steeds vaker de lokale netwerken), met 1.000 GPU’s die in perfecte lockstep moduleren.
In die worst-case-simulatie bereikte de huidige totale harmonische vervorming (THD) 46,8%, ruim boven de 13%-richtlijn waartegen het document deze vergelijkt uit IEC 61000-3-12. De dempingsratio daalde naar -0,27, een negatieve waarde die duidt op een onstabiele modus, waarbij het elektriciteitsnet een verstoring versterkt in plaats van uitdempt.
Het artikel gaat nog verder met het model, naar een netwerk met 9.241 bussen dat moet lijken op het Europese transmissienetwerk, waar een plaatselijke verstoring ter waarde van 2% van de systeembelasting over 13 trappen stroomt en ongeveer 81% van de belasting verliest. Dat getal stapelt de slechtste aannames op voor één specifiek model, en het is een eigenschap van de simulatie, en geen voorspelling van iets reëels.
Die lockstep is de dragende veronderstelling, en de optimistische voor de aanvaller: het artikel geeft toe dat het afstemmen van stroomtransities over een echte vloot van cloud-GPU’s nog steeds een open probleem is. In zijn eigen 2 kHz-model vermindert timingjitter met een standaardafwijking van 100 microseconden de totale amplitude met ongeveer 20%, en het artikel beweert niet dat dit cijfer een typische wolk weerspiegelt.
Voor een echte aanval zijn meerdere dingen tegelijk nodig: voldoende fysiek geclusterde GPU’s, een nauwe synchronisatie daartussen, modulatie die de fasen van de stroomconditionering van het datacenter overleeft, en een netwerk waarvan de resonanties toevallig de gekozen frequentie versterken.
De fysieke experimenten vonden plaats in gecontroleerde testbedden, en de schade op rasterschaal kwam voort uit simulatie, waarbij geen productiesystemen werden aangevallen en geen beveiligingsfout werd onthuld in een specifiek commercieel product.
The Hacker News heeft contact opgenomen met de onderzoekers van de Zhejiang Universiteit voor commentaar over hoe ver de aanval schaalt in een echte cloudomgeving en zal dit verhaal bijwerken met elk antwoord.
Wat het ervan weerhoudt puur academisch te zijn, is dat de natuurkunde al bekend is. In augustus 2025 publiceerden Microsoft, OpenAI en NVIDIA hun eigen paper over het stabiliseren van de AI-trainingskracht, waarin ze waarschuwden dat de gesynchroniseerde schommelingen van grote trainingsbanen, wanneer hun frequentie overeenkomt met de kritische frequenties van een nutsbedrijf, ‘fysieke schade aan de infrastructuur van het elektriciteitsnet kunnen veroorzaken.’
Bit2Watt neemt dat toevallige effect en vraagt zich af wat een huurder er bewust mee zou kunnen doen.
Het elektriciteitsnet is ook bang geworden doordat datacenters zich per ongeluk slecht gedroegen. In juli 2024 zorgde een transmissiefout in een dichtbevolkt deel van Noord-Virginia ervoor dat ongeveer 1.500 MW aan datacenterbelasting in één keer van het elektriciteitsnet viel, toen de eigen beveiligingssystemen van de faciliteiten deze overschakelden naar back-upstroom.
NERC, dat toezicht houdt op de betrouwbaarheid van het Noord-Amerikaanse netwerk, zei dat de storing op dat moment geen betrouwbaarheidsrisico vormde, hoewel operators wel de spanning moesten corrigeren. Het waarschuwde dat het gevaar toeneemt naarmate deze ladingen groter worden, en de technische commissie heeft later in 2024 een Task Force voor grote ladingen opgericht om deze te bestuderen.
Niemand heeft iets aangevallen; de datacenters beschermden zichzelf. Het punt is niet dat het elektriciteitsnet bijna uitvalt, maar dat een belasting van die omvang in een oogwenk kan afnemen, sneller dan exploitanten kunnen plannen, en dat het risico toeneemt naarmate deze vloten groeien.
De lus sluit met wat de auteurs Watt2Bit noemen, waarbij de verstoring terugkomt in de computerkant. De analyse van het artikel laat zien hoe door harmonischen aangedreven verwarming en verhoogde stroom de thermische of overstroombeveiliging kunnen activeren en GPU-servers kunnen uitschakelen, waardoor een probleem met de stroomkwaliteit in een denial-of-service kan veranderen.
Nog vreemder is dat dezelfde modulatie ook dienst doet als verborgen kanaal. Door bits te coderen als twee frequenties, 2 kHz voor een 1 en 200 Hz voor een 0, ving het team de elektromagnetische emissies op op een nabijveldantenne die was aangesloten op een softwaregedefinieerde radio en herstelde een 50-bits testreeks zonder fouten.
Het is een nauwe neef van PowerHammer, de air-gap data-exfiltratie-aanval die THN in 2018 behandelde, met één onderscheid: PowerHammer leest gegevens die langs de elektriciteitslijn worden geleid en waar dan ook worden afgeluisterd, van het stopcontact tot het elektrische paneel van het gebouw, terwijl het kanaal van Bit2Watt een antenne nodig heeft die EMI in het nabije veld direct op de hardware opvangt.
Geen van beide reikt via internet; beide hebben een fysieke steunpunt nodig in de buurt van de stroom of de machine.
Geen bug om te patchen
Standaardtelemetrie vangt het nauwelijks op. Rack-PDU-tellers samplen één keer per seconde, NVIDIA’s NVML-telemetrie op 450 Hz, en zelfs de snelste gangbare interfaces, RAPL en server-BMC’s, bereiken een top van bijna 1 kHz, terwijl de modulatie meerdere malen hoger is.
Een lichtgewicht detector die de onderzoekers bouwden op basis van stroom- en NVML-gegevens presteerde slecht; het toevoegen van GPU-profileringsfuncties verbeterde dit, en speciale EMI-detectie werkte het beste. LTMA was consequent moeilijker te herkennen dan SWMA. Deze resultaten zijn afkomstig van een detector van onderzoekskwaliteit, en niet van de eigen systemen die een grote cloudprovider zou kunnen gebruiken, dus ze bewijzen niet dat een hyperscaler deze zou missen.
Het grotere probleem is niet de zichtbaarheid. Er hoeft geen productbug te worden gepatcht, omdat de blootstelling de architectuur zelf is: de nauwe koppeling tussen vluchtige GPU-belasting en een omvormer-zwaar netwerk, waar geen conventionele monitoring overheen kijkt.
Het artikel biedt bescherming voor beide partijen tegelijk: batterijen, supercondensatoren en harmonische filtering aan de stroomzijde; detectie van afwijkingen bij GPU-gebruik en trainingsschema’s aan de computerkant. Het vormt een enkel systeem dat de twee met elkaar verbindt als toekomstig werk.
De computerkant en de gridkant worden beheerd door verschillende bedrijven, gemonitord door verschillende tools, en geen van beide is gebouwd om op de ander te letten. In die naad leeft Bit2Watt, en op dit moment heeft het geen eigenaar.
