Sicherheitsforscher haben zwei neue Angriffsmethoden enthüllt, die über den Speicher von Nvidia-Grafikkarten vollständige Systemkontrolle ermöglichen – mit besonders brisanten Folgen für KI-Rechenzentren und Cloud-Infrastrukturen weltweit.
Rowhammer-Angriffe über GPU-Speicher: Vollständige Systemkontrolle möglich
Sicherheitsforscher haben zwei neue Angriffsmethoden entwickelt, die über den Speicher von Nvidia-Grafikkarten vollständige Kontrolle über betroffene Systeme ermöglichen. Die als GDDRHammer und GeForceHammer bezeichneten Techniken greifen GPU-Speicher auf eine Weise an, die letztlich den CPU-Bereich kompromittiert – mit weitreichenden Konsequenzen für KI-Infrastrukturen und Rechenzentren.
Rowhammer: Eine bekannte Klasse, neue Ausprägung
Rowhammer-Angriffe sind seit Jahren bekannt: Sie nutzen eine physikalische Eigenschaft von DRAM-Speicher aus, bei der das wiederholte Lesen einer Speicherzeile elektrische Störungen in benachbarten Zeilen verursacht. Diese sogenannten Bit-Flips lassen sich gezielt herbeiführen, um Sicherheitsmechanismen zu umgehen oder Berechtigungen zu eskalieren.
Bisherige Gegenmaßnahmen konzentrierten sich auf herkömmlichen Arbeitsspeicher. GDDR-Speicher, wie er in modernen Grafikkarten verbaut ist, stand bislang weniger im Fokus – genau diese Lücke nutzen GDDRHammer und GeForceHammer aus.
Die Forschungsarbeiten zeigen, dass GDDR6-Speicher in aktuellen Nvidia-GPUs unter bestimmten Bedingungen ebenfalls für Bit-Flips anfällig ist – und das vollständig per Software, ohne physischen Zugriff auf die Hardware.
Angriffspfad: Vom GPU- in den CPU-Speicher
Besonders kritisch ist der beschriebene Angriffspfad: Die Forscher demonstrieren, wie Bit-Flips im GPU-Speicher genutzt werden können, um Seitentabellen oder andere Datenstrukturen im Systemspeicher zu verändern. Dies eröffnet Angreifern die Möglichkeit, aus einer eingeschränkten Ausführungsumgebung auszubrechen und vollständige Kontrolle über das Hostsystem zu erlangen.
Ein sogenanntes Privilege-Escalation-Szenario – in Cloud- und Multi-Tenant-Umgebungen besonders schwerwiegend.
Der Angriff setzt voraus, dass ein Angreifer bereits Code auf dem betroffenen System ausführen kann, etwa über eine kompromittierte Anwendung oder einen bösartigen Container. Dies senkt zwar die unmittelbare Bedrohungsstufe, macht die Lücke jedoch nicht weniger ernst: In Shared-Computing-Infrastrukturen, wie sie beim Betrieb von Large Language Models und KI-Workloads üblich sind, ist genau dieses Szenario realistisch.
Relevanz für KI-Infrastrukturen
Nvidia-GPUs dominieren gegenwärtig den Markt für KI-Training und Inferenz. Rechenzentren weltweit betreiben dicht gepackte GPU-Cluster, auf denen unterschiedliche Mandanten oder Workloads gleichzeitig laufen.
Genau in diesen Umgebungen ist das Risiko am größten: Ein Angreifer, der einen Tenant kompromittiert, könnte über GDDRHammer oder GeForceHammer die Isolation zwischen verschiedenen Nutzern oder Prozessen aufheben.
Zu einem koordinierten Patch oder einer offiziellen Stellungnahme von Nvidia lagen zum Zeitpunkt der Veröffentlichung keine gesicherten Informationen vor. Die Forscher hatten ihre Ergebnisse dem Hersteller im Rahmen eines Responsible-Disclosure-Prozesses gemeldet.
Einordnung und Handlungsempfehlungen für deutsche Unternehmen
Für Unternehmen und Organisationen in Deutschland, die GPU-basierte KI-Infrastrukturen betreiben oder Cloud-Dienste mit Nvidia-Hardware nutzen, empfiehlt sich eine zeitnahe Überprüfung der eigenen Sicherheitsarchitektur. Besonderes Augenmerk sollte auf folgende Punkte gelegt werden:
- Isolation-Mechanismen in Multi-Tenant-Umgebungen prüfen und härten
- Firmware-Versionen aktuell halten und auf Hersteller-Patches achten
- Code-Ausführungsrechte konsequent beschränken
- Nvidia-Patches und Mitigationsmaßnahmen priorisiert einspielen, sobald verfügbar
Mittelfristig dürfte das Thema hardware-nahe Angriffe auf KI-Beschleuniger deutlich an Bedeutung gewinnen – ein Aspekt, der bei Beschaffung und Betrieb entsprechender Systeme stärker berücksichtigt werden sollte.
Quelle: Ars Technica Security
