Um locatário de cloud que tenha apenas acesso comum a GPUs pode fazer o consumo de energia de um data center subir e descer rápido o suficiente para ameaçar a rede elétrica que o abastece, sem precisar de exploit e sem invasão.
Essa é a tese por trás do Bit2Watt, descrito por três pesquisadores da Universidade de Zhejiang em um artigo aceito para a CHES 2026, conferência de segurança de hardware da IACR.
As evidências se dividem em duas frentes: os pesquisadores mediram a modulação de energia em GPUs reais e simularam a desestabilização da rede que isso poderia provocar.
A técnica inverte o modelo usual de ataque à rede elétrica.
Não há sensores comprometidos, malware nos sistemas de controle nem credenciais roubadas de operadores.
Há apenas uma carga de trabalho criada para se comportar de forma maliciosa.
Isso funciona porque o consumo de energia de uma GPU acompanha o que ela está calculando.
Quando os núcleos tensor são saturados, a corrente dispara.
Quando a carga cai para o repouso, o consumo despenca.
Ao alternar esses estados em um cronograma, obtém-se uma oscilação de potência controlável na tomada.
Os autores resumem a questão de forma direta: ações puramente computacionais, executadas como cargas legítimas, podem ser transformadas em arma para desestabilizar a infraestrutura elétrica? O restante do artigo é a resposta.
## Dois caminhos de ataque
O primeiro método, chamado SWMA, envia um kernel CUDA criado para esse fim, alternando entre um modo de computação intensa e outro quase ocioso.
Um controlador no host define o cronograma de comutação e troca o modo por meio de uma única flag em memória unificada, alocada com cudaMallocManaged, usando ferramentas padrão, e não algo exótico.
Nas GPUs testadas, essa carga sintética produziu componentes de potência de cerca de 1,5 kHz até 6 kHz, com pico em uma RTX 4090, muito acima dos poucos hertz gerados por uma carga doméstica oscilante, como um ar-condicionado.
O comportamento apareceu também em GPUs de data center, como A100 e Tesla V100, e não apenas em placas voltadas a jogos.
O kernel personalizado e seu laço de polling apertado são o tipo de coisa que um provedor pode aprender a identificar.
O segundo método, LTMA, é o que mais deve preocupar operadores.
Em vez de um kernel sintético, ele esconde a modulação dentro de uma rotina real de treinamento de LLM, ajustando hiperparâmetros e inserindo operações auxiliares para fazer a carga de computação subir e descer sem quebrar o treinamento.
O controle é mais frouxo que no SWMA e limitado pela velocidade das iterações do laço de treinamento.
Por isso, as frequências ficam mais baixas, em torno de 1,2 a 3 kHz.
Mesmo assim, o método alcança maior amplitude e se mistura ao ruído normal do treinamento, o que dificulta sua detecção.
Nenhum dos dois exige privilégios elevados, porque o locatário já controla seus próprios scripts de treinamento e agendas de jobs.
Esses números valem para uma única GPU, e o efeito só ganha peso em escala.
O artigo modela o cenário em sua versão mais perigosa: uma rede local simulada de 1 MW, abastecida em 90% por recursos energéticos distribuídos, como painéis solares e baterias cada vez mais presentes em redes locais, com 1.000 GPUs modulando em perfeita sincronia.
Nesse pior caso, a distorção harmônica total da corrente chegou a 46,8%, bem acima da diretriz de 13% usada no artigo como referência da IEC 61000-3-12.
A razão de amortecimento caiu para -0,27, um valor negativo que indica modo instável, no qual a rede amplifica a perturbação em vez de atenuá-la.
O artigo leva o modelo ainda mais longe, para uma rede de 9.241 barramentos que pretende se assemelhar à rede de transmissão europeia.
Nela, uma perturbação localizada equivalente a 2% da carga do sistema se espalha por 13 estágios e derruba cerca de 81% da carga.
Esse número combina hipóteses pessimistas em um modelo específico e é uma propriedade da simulação, não uma previsão do mundo real.
A sincronização é a premissa mais importante e, ao mesmo tempo, a mais otimista para o atacante.
O próprio artigo admite que alinhar transições de energia em uma frota real de GPUs em cloud ainda é um problema em aberto.
Em seu modelo de 2 kHz, um jitter de sincronização com desvio padrão de 100 microssegundos reduziu a amplitude agregada em cerca de 20%, e o estudo não afirma que esse valor represente uma nuvem típica.
Um ataque real precisaria de várias condições ao mesmo tempo: GPUs fisicamente agrupadas em quantidade suficiente, sincronização precisa entre elas, modulação que sobreviva às etapas de condicionamento de energia do data center e uma rede elétrica cujas ressonâncias acabem amplificando a frequência escolhida.
Os experimentos físicos foram feitos em ambientes controlados, e os danos em escala de rede vieram de simulação.
Nenhum sistema de produção foi atacado e nenhuma falha de segurança foi revelada em um produto comercial específico.
Os pesquisadores da Universidade de Zhejiang foram contatados para comentar até que ponto o ataque escala em uma nuvem real, e a reportagem será atualizada caso haja resposta.
O que impede que isso seja apenas teoria é que a física já está documentada.
Em agosto de 2025, Microsoft, OpenAI e NVIDIA publicaram um artigo próprio sobre a estabilização do consumo de energia no treinamento de IA e alertaram que as oscilações sincronizadas de grandes jobs, quando sua frequência coincide com as frequências críticas de uma concessionária, podem “causar danos físicos à infraestrutura da rede elétrica”.
O Bit2Watt pega esse efeito acidental e pergunta o que um locatário poderia fazer de propósito.
A rede elétrica também já teve sobressaltos causados por data centers, ainda que por acidente.
Em julho de 2024, uma falha de transmissão em uma região do norte da Virgínia com alta densidade de data centers fez cerca de 1.500 MW de carga desses centros saírem da rede de uma vez, quando os próprios sistemas de proteção das instalações mudaram para energia de backup.
A NERC, que supervisiona a confiabilidade da rede elétrica na América do Norte, disse na época que a perturbação não representou risco à confiabilidade, embora os operadores tenham precisado corrigir a tensão.
A entidade alertou que o perigo cresce conforme essas cargas aumentam e, mais tarde em 2024, seu comitê técnico criou uma Força-Tarefa de Grandes Cargas para estudá-las.
Ninguém atacou nada; os data centers se protegeram sozinhos.
O ponto não é que a rede quase falhou, mas que uma carga desse tamanho pode cair de forma instantânea, rápido demais para o planejamento dos operadores, e o risco cresce à medida que essas frotas se expandem.
O ciclo se fecha com o que os autores chamam de Watt2Bit, o distúrbio voltando a afetar a computação.
A análise do artigo mostra como o aquecimento causado por harmônicos e a corrente elevada podem acionar proteções térmicas ou de sobrecorrente e desligar servidores com GPU, transformando um problema de qualidade de energia em negação de serviço.
Mais estranho ainda, a mesma modulação também funciona como um canal encoberto.
Ao codificar bits em duas frequências, 2 kHz para 1 e 200 Hz para 0, a equipe capturou emissões eletromagnéticas com uma antena de campo próximo ligada a uma rádio definida por software e recuperou uma sequência de teste de 50 bits sem erros.
É um parente próximo do PowerHammer, o ataque de exfiltração de dados por air-gap que o THN cobriu em 2018, com uma diferença: o PowerHammer lia dados conduzidos pela linha de energia, podendo ser captado da tomada ao painel elétrico do prédio, enquanto o canal do Bit2Watt exige uma antena captando EMI de campo próximo diretamente no hardware.
Nenhum dos dois passa pela internet.
Ambos exigem um ponto de contato físico próximo à energia ou à máquina.
A telemetria padrão mal percebe o problema.
Contadores de PDU de rack amostram uma vez por segundo.
A telemetria NVML da NVIDIA chega a 450 Hz.
Até as interfaces comuns mais rápidas, como RAPL e BMCs de servidor, ficam perto de 1 kHz, enquanto a modulação opera várias vezes acima disso.
Um detector leve criado pelos pesquisadores com dados de energia e NVML teve desempenho ruim.
A inclusão de recursos de profiling da GPU melhorou os resultados, e a detecção dedicada de EMI funcionou melhor.
O LTMA foi consistentemente mais difícil de identificar do que o SWMA.
Esses resultados vêm de um detector em nível de pesquisa, e não dos sistemas proprietários que um grande provedor de cloud poderia operar, portanto não provam que um hyperscaler deixaria passar o ataque.
O problema maior não é visibilidade.
Não existe um bug de produto para corrigir, porque a exposição está na arquitetura: o acoplamento apertado entre a carga volátil da GPU e uma rede elétrica dependente de inversores, algo que o monitoramento convencional não observa de ponta a ponta.
O artigo sugere defesas para os dois lados.
No lado da energia, baterias, supercapacitores e filtragem de harmônicos.
No lado da computação, detecção de anomalias no uso da GPU e nos cronogramas de treinamento.
A criação de um sistema único que conecte os dois mundos fica como trabalho futuro.
O lado da computação e o lado da rede são operados por empresas diferentes, monitorados por ferramentas diferentes e nenhum deles foi projetado para observar o outro.
É nessa costura que o Bit2Watt vive.
E, por enquanto, ela não tem dono.
Publicidade
Tenha acesso aos melhores hackers éticos do mercado através de um serviço personalizado, especializado e adaptado para o seu negócio. Guardsi: qualidade, confiança e especialidade em segurança ofensiva de quem já protegeu centenas de empresas. Saiba mais...