Bit2Watt 攻击：云租户无需漏洞即可扰动电网

导语：浙江大学三位研究者发表论文 Bit2Watt，揭示云租户仅凭合法 GPU 工作负载即可制造可控的功率振荡，在大规模模拟场景下导致电网谐波失真与负阻尼，无需任何漏洞或入侵即可威胁电力基础设施。

一名云租户仅凭普通 GPU 访问权限，就能让数据中心的电力消耗快速起伏，从而威胁其所在的电网——既无需漏洞，也无需入侵。这正是 Bit2Watt 攻击的核心论断。该攻击由浙江大学三位研究者在一篇被 IACR 硬件安全会议 CHES 2026 接收的论文中提出，其证据分为两部分：在真实 GPU 上测量功率调制，以及模拟其可能引发的电网失稳。

该技术颠覆了传统的电网攻击模型：不需要被攻陷的传感器，不需要植入控制系统的恶意软件，也不需要窃取的操作员凭据，仅靠一个故意"行为不端"的工作负载即可。其原理在于，GPU 的功耗随其计算内容而变化：让 Tensor Core 满载时电流骤升，进入空闲状态时电流骤降。若按一定调度在两种状态间切换，就能在电源插座端产生可控的功率振荡。

作者抛出一个直白的问题："纯粹以合法工作负载形式执行的计算行为，是否能被武器化以颠覆电力基础设施？"论文的其余部分便是对这个问题的回答。

第一种方法被称为 SWMA，它上传一个专门构建的 CUDA 内核，在高强度计算模式与近乎空闲的模式之间切换。主机端的控制器负责设置切换调度，并通过一个由 cudaMallocManaged 分配的统一内存标志位切换模式，所用的都是标准工具，并无任何特殊之处。在受测 GPU 上，该合成工作负载产生了大约 1.5 kHz 至 6 kHz 的功率分量，在 RTX 4090 上达到峰值，远高于空调等家用负载摆动所产生的几赫兹水平。该方法不仅适用于游戏卡，在 A100、Tesla V100 等数据中心 GPU 上同样有效。其自定义内核与紧凑的轮询循环，是云服务商可以学习并加以指纹识别的特征。

第二种方法 LTMA 才是真正让运维人员担忧的。它不再使用合成内核，而是把调制信号埋入真实的 LLM 训练任务中：通过调整超参数、插入辅助操作，使计算负载有节奏地上升和下降，同时不影响训练本身。其控制精度不如 SWMA 精确，受限于训练循环的迭代速度，振荡频率也较低，约为 1.2 至 3 kHz。但其幅度更大，并能融入正常的训练噪声中，这恰恰使其更难被发现。两种方法都不需要提权，因为租户本身就能完全控制自己的训练脚本与作业调度。

以上都是单卡数据，要真正造成影响必须依靠规模效应。论文在最危险的假设下对规模场景进行了建模：模拟一个 1 MW 的本地电网，其中 90% 的电力来自分布式能源资源（即日益接入本地电网的屋顶光伏与电池），由 1,000 块 GPU 以完美同步的方式进行功率调制。在这个最坏情况的模拟中，电流总谐波失真（THD）达到了 46.8%，远高于论文参照 IEC 61000-3-12 所给出的 13% 准则值；阻尼比降至 -0.27，这一负值标志着系统进入了失稳模式，即电网会放大扰动而非抑制扰动。

论文进一步将模型推演到一个 9,241 节点的电网之上，用以模拟欧洲输电网络。在该场景中，一次相当于系统负荷 2% 的局部扰动会经过 13 级级联，导致约 81% 的负荷被切除。需要指出的是，这一数字叠加了最坏假设与单一特定模型，反映的是仿真特性，而非对真实情况的预测。

这种"完美同步"是论文中承重式的假设，对攻击者而言也是最乐观的假设。论文承认，要在真实的云端 GPU 集群中实现功率切换的同步对齐，仍然是一个悬而未决的问题。在其自身的 2 kHz 模型下，标准差为 100 微秒的时序抖动就会让总体幅度下降约 20%，而论文也并未声称该数字能够代表典型云环境的情况。

一次真实的攻击需要多项条件同时满足：足够多且物理上聚集的 GPU、跨卡的紧密同步、能经受数据中心各级电力调节环节的调制，以及一座恰好会在所选频率上产生共振放大的电网。物理实验是在受控测试平台上完成的，电网级影响则来自仿真：没有生产系统被攻击，也未在任何特定商用产品中披露安全缺陷。

The Hacker News 已联系浙江大学的研究者，就该攻击在真实云环境中的实际规模征询意见，并将根据任何回复更新本文。让其不至于纯粹停留在学术层面的，是相关物理事实已有据可查：2025 年 8 月，Microsoft、OpenAI 与 NVIDIA 联合发表了一篇关于稳定 AI 训练电力消耗的论文，警告称大型训练任务的同步功率波动，当其频率与电网关键频率吻合时，可能"对电网基础设施造成物理损坏"。