GDDRHammer e GeForge: A Anatomia dos Ataques que Transformaram a Memória de Vídeo em Arma

Existem inúmeras ameaças de software para sistemas de IA. No entanto, este artigo se aprofunda no GDDRHammer, um ataque que visa o hardware. Vamos dissecar esse ataque, mostrando como ele é implementado em nível físico, e compará-lo com o ataque GeForge, que pertence à mesma classe.

Ataques da Classe Rowhammer

Em 2014, pesquisadores descobriram que, ao acessar repetidamente as linhas de memória RAM, era possível alterar um bit nas linhas vizinhas. Como os bits são armazenados como carga elétrica, a "quebra" deles causa interferência elétrica, capaz de transformar zeros em uns ou vice-versa. Através de uma falha no funcionamento de um bit, um potencial invasor pode obter acesso a privilégios mais altos na memória, de onde poderá comprometer o processador. Essa classe de ataques foi chamada de Rowhammer – a mesma linha (row) é atingida várias vezes, como um martelo (hammer).

Em 2025, pesquisadores atacaram a memória de vídeo de forma semelhante. GPUHammer foi o primeiro ataque Rowhammer bem-sucedido em GPUs discretas NVIDIA GDDR6. Ao contrário do Rowhammer clássico em CPUs, onde o atacante "martela" duas linhas de memória na esperança de inverter um bit na linha vizinha, o GPUHammer envolve três ações.

Primeiramente, os pesquisadores fizeram engenharia reversa no driver proprietário da NVIDIA e identificaram uma função que revela o mapeamento físico da memória virtual para os bancos GDDR6. Isso permitiu selecionar com precisão as linhas na memória, usando as quais o restante da memória foi atacado. Daqui em diante, elas serão chamadas de linhas agressoras.

Em segundo lugar, os autores escreveram um kernel CUDA especializado, onde milhares de threads paralelos acessam simultaneamente as mesmas linhas agressoras – o paralelismo da GPU cria uma avalanche de solicitações que o controlador de memória, com seu mecanismo de proteção Target Row Refresh, não consegue processar. Em terceiro lugar, o ataque foi sincronizado com os ciclos de atualização da memória: o "martelamento" é ativado imediatamente após o controlador atualizar as linhas, para que a interferência se acumule o máximo possível – até a próxima atualização.

Como resultado, distorções de bits controladas foram causadas nas tabelas de páginas da GPU, o que violou o isolamento da memória entre os processos – o primeiro passo para a completa comprometimento do sistema. Na época, os pesquisadores conseguiram apenas oito distorções de bits em toda a placa de vídeo RTX A6000. O suficiente para demonstrar o princípio e prejudicar ligeiramente o funcionamento da rede neural, mas não o suficiente para uma invasão séria. Sim, mesmo uma única falha de bit pode ser crítica, mas a probabilidade de atingir o bit certo após oito inversões tende a zero.

Ataque GDDRHammer

Os autores do GPUHammer retornaram à tarefa com novas ideias e superaram a si mesmos em 32 vezes: em média, 129 inversões de bits para cada banco de memória RTX A6000. Mas a conquista não está na quantidade em si, mas no fato de que, com ela, o ataque de um jogo de roleta se torna uma tarefa de engenharia com um resultado previsível. O que mudou exatamente? Por que a memória de vídeo, que parecia resistente a ataques maciços há um ano, demonstra vulnerabilidade? A resposta está em duas inovações do GDDRHammer: a técnica de "preparação da memória" (memory massaging) e o uso do paralelismo da GPU.

Memory Massaging

Como dito, o Rowhammer clássico em CPUs funciona de forma simples: você seleciona duas linhas de memória (rows) em um banco, "martela"-as com milhares de acessos e, em algum momento, a interferência elétrica inverte um bit na linha vizinha – a vítima. Os controladores de memória aprenderam a resistir a essa força bruta. Eles são protegidos pela tecnologia Target Row Refresh (TRR). O mecanismo rastreia a frequência de acesso às linhas. Quando o contador de acessos a uma determinada linha excede o limite, o controlador de memória força a atualização das linhas vizinhas, "redefinindo" a carga elétrica acumulada e impedindo a inversão de bits. É como se você estivesse balançando um balanço, e alguém o parasse a cada poucos segundos.

GDDRHammer contorna o TRR, reduzindo a área de ataque. A essência da técnica de memory massaging ("preparação da memória") é mover dados importantes para a área de memória de vídeo mais vulnerável à interferência elétrica. Para fazer isso, o GDDRHammer preenche outras áreas com seus dados, "empurrando" estruturas críticas para onde a proteção TRR funciona pior ou onde a densidade das células espalha a interferência de forma mais eficaz. O ataque usa funções padrão de alocação de memória – por exemplo, cudaMalloc no ecossistema CUDA. Além disso, os pesquisadores descobriram que os dados no espaço de endereço virtual nem sempre estão localizados da mesma forma que fisicamente no chip. O memory massaging lida com isso também: às cegas, sem acesso ao mapa de memória, identifica áreas vulneráveis, medindo o tempo de acesso e outros sinais indiretos.

Paralelismo como Multiplicador de Força

O segundo segredo da eficácia do GDDRHammer é que ele usa a natureza paralela da GPU. Em uma CPU, o ataque Rowhammer é executado por um thread ou threads que acessam sequencialmente as linhas agressoras. Não é rápido, mesmo que haja vários núcleos. Mas a unidade de processamento gráfico pode executar milhares de threads (warps na terminologia da NVIDIA) simultaneamente. E todos eles são capazes de acessar a memória em paralelo. Quando mil threads simultaneamente "martelam" as mesmas linhas de memória, o efeito se acumula muito mais rápido. Os pesquisadores do GDDRHammer desenvolveram um kernel CUDA especial, onde milhares de threads executam simultaneamente ciclos de leitura de duas linhas cuidadosamente selecionadas. O código se parece com isto:

c
__global__ void hammer_kernel(volatile uint32_t *target) {
    // Cada thread lê de duas linhas adjacentes mil vezes
    for (int i = 0; i < HAMMER_ITERATIONS; i++) {
        volatile uint32_t a = target[ROW_A_OFFSET];
        volatile uint32_t b = target[ROW_B_OFFSET];
        // O compilador não deve otimizar essas operações
    }
}

O controlador de memória GDDR6 não consegue processar a avalanche de solicitações e aplicar adequadamente os mecanismos de proteção. A frequência de atualização do TRR é calculada para uma certa intensidade de acessos, e o paralelismo da GPU facilmente excede esse limite. O resultado da abordagem "memory massaging mais "martelamento" paralelo" é 129 distorções de bits por banco de memória. O suficiente para não apenas danificar aleatoriamente os dados, mas também modificar intencionalmente as estruturas críticas de gerenciamento de memória.

Principais Objetivos do Ataque

Então, por que 129 inversões de bits são uma ameaça? Porque elas permitem que o atacante chegue às tabelas de páginas da unidade de processamento gráfico. As tabelas de páginas da GPU são estruturas de dados que conectam endereços virtuais, visíveis pelos programas, a endereços físicos na memória de vídeo. Quando seu aplicativo CUDA aloca memória via cudaMalloc, o driver cria ou atualiza entradas nessas tabelas, mapeando o endereço virtual que você recebeu para uma seção física da VRAM. Cada entrada na tabela de páginas contém pelo menos dois campos críticos: o endereço físico da página e as permissões de acesso (leitura, gravação, execução). Se o atacante for capaz de alterar pelo menos um bit em tal entrada, as consequências podem ser catastróficas. Digamos que o bit mais significativo do endereço físico seja invertido de 0 para 1. Isso mudará o endereço físico para o qual a página aponta, de centenas de megabytes para gigabytes. Agora, quando o atacante acessa seu endereço virtual, ele realmente lê ou escreve em outra área da memória de vídeo – possivelmente aquela onde os dados de outra tarefa são armazenados ou, o que é muito mais perigoso, as estruturas de gerenciamento do driver.

Os pesquisadores do GDDRHammer foram além. Eles mostraram que, em 129 tentativas por banco, é possível não apenas danificar aleatoriamente a tabela de páginas, mas também alterar controladamente uma entrada específica. Com a ajuda do memory massaging, eles enviam a entrada da tabela de páginas de destino para a área física onde a probabilidade de distorção de bits é máxima. Em seguida, eles lançam o "martelamento" paralelo com parâmetros precisamente calculados (número de iterações, seleção de linhas agressoras). Após cada ciclo, eles verificam se a inversão desejada ocorreu. Em caso de falha, eles ajustam os parâmetros e repetem. Em mais de cem tentativas, a probabilidade de sucesso se aproxima de um. Quando a tabela de páginas é danificada, o isolamento da memória é destruído. O atacante tem a capacidade de ler e escrever áreas arbitrárias da memória de vídeo, incluindo aquelas que pertencem a outros processos ou ao próprio driver. Já é uma falha séria. Mas o GDDRHammer permite ir ainda mais longe – sair da memória de vídeo para a memória RAM do processador central. Aqui, tudo fica ainda mais interessante.

Avanço na Memória da CPU

A etapa final e mais espetacular do ataque GDDRHammer usa a peculiaridade de como a GPU interage com a memória principal. GPUs modernas no modo de memória unificada podem acessar a memória RAM da CPU através do mecanismo DMA (Direct Memory Access). Para fazer isso, existem entradas especiais nas tabelas de páginas da GPU que apontam não para a memória de vídeo, mas para as áreas da RAM do sistema. GDDRHammer permite alterar a entrada na tabela de páginas, que apontava para uma área legítima da memória de vídeo, de modo que ela comece a apontar para a memória da CPU. Por exemplo, o endereço físico na entrada é alterado de um valor na faixa da VRAM para um valor na faixa da RAM do sistema. Depois disso, o aplicativo de ataque, que é executado na GPU (lembre-se, o ataque é lançado através do código CUDA), tem a capacidade de ler e escrever áreas arbitrárias da memória RAM do processador central. O invasor pode ler senhas, chaves de criptografia, o conteúdo de arquivos e modificar estruturas críticas do kernel do sistema operacional. Um dos pesquisadores, Andrew Kwong, formulou da seguinte forma: "Demonstramos como um atacante pode causar uma falha de bit na GPU para obter acesso de leitura e gravação a toda a memória da CPU, o que compromete completamente a máquina".

Detalhes Técnicos da Implementação

Para completar o quadro, vamos considerar os parâmetros que os pesquisadores usaram. O ataque foi realizado em uma RTX A6000 – uma placa de vídeo profissional baseada na arquitetura Ampere com 48 GB de memória de vídeo GDDR6. Condições-chave: seleção precisa de linhas agressoras (pares específicos de linhas em um banco), número de iterações de "martelamento" por thread (selecionado experimentalmente para contornar o TRR), número de threads trabalhando simultaneamente (milhares), bem como a sequência de acessos à memória dentro do ciclo. O sucesso do ataque foi verificado pela técnica de "marcas d'água" – padrões especiais foram gravados em áreas de memória potencialmente vulneráveis e foi observado se eles mudaram após o "martelamento". Assim, não apenas as inversões foram detectadas, mas também quais bits foram afetados. Os resultados foram reproduzidos de forma estável. Na RTX A6000, a equipe conseguiu uma média de 129 flips por banco, e em alguns bancos o número de inversões atingiu várias centenas. Isso significa que, mesmo que alguns flips caíssem em áreas "não interessantes", o atacante terá recursos suficientes para atingir as estruturas-alvo.

GDDRHammer vs GeForge

GDDRHammer não é o único ataque desta geração. Paralelamente a ele, o GeForge foi desenvolvido, que ataca não as tabelas de páginas, mas o diretório dessas tabelas (page directory) – uma estrutura de nível superior que aponta para as tabelas. Ao danificar o diretório, você pode comprometer toda uma gama de tabelas. GeForge é ainda mais eficaz em placas de vídeo de consumo: 1171 inversões de bits por banco na RTX 3060. No entanto, no acelerador profissional RTX A6000, a eficiência caiu para 202 flips (ainda mais do que GDDRHammer). A diferença de quase seis vezes é explicada pela diferença na arquitetura de memória das GPUs de consumo e profissionais. Pesquisadores de dois grupos independentes chegaram a resultados semelhantes de forma tão síncrona que decidiram publicar trabalhos em conjunto – um caso raro no meio acadêmico, quando os concorrentes se unem, em vez de se superarem.

Brevemente sobre a Proteção contra Ataques

Este é o tema de outro artigo, aqui apenas indicarei as teses. Agora, você precisa ativar ECC (correção automática de erros) e IOMMU (gerenciador de acesso a áreas físicas de memória). E, no futuro, mudar a arquitetura, tornando as futuras gerações de GPUs mais resistentes a ataques da classe Rowhammer.