GPUThor — ECCを突破する初のNVIDIA GPU Rowhammer攻撃、ECC有効でもroot権限昇格とDoSが可能に

研究者らが2026年8月25日に公開したGPU Rowhammer攻撃「GPUThor」は、NVIDIA GPUで推奨されてきた防御であるECC（Error-Correcting Code）を初めて突破した。GPUのメモリサブシステムが繰り返しアクセスを統合する仕組みと、DRAMチップ内の緩和策（TRR）が発動するタイミングを解析し、従来手法の6.6倍の強度で攻撃することで、ECCが訂正・検出できない複数ビットエラーを誘発する。研究チームは特設サイトと論文で詳細を公開し、NVIDIAも同日にセキュリティ情報を公開した。

何が明らかになったか

GPUThorは、カナダの研究者らによるGPU向けRowhammer攻撃だ。Rowhammerは、DRAMの特定行を繰り返し活性化することで隣接行の電荷を漏らし、隣接行のビットを反転させる物理現象である。攻撃者は隣接行への権限がなくてもデータを改ざんでき、権限昇格やサンドボックス脱出に悪用される。

これまでのGPU向けRowhammer攻撃（GPUHammerなど）は、ECCを有効にすると数十から数百flips/GB（ギガバイトあたりのビット反転数）にとどまり、NVIDIA GPUに搭載されるSECDED ECC（1ビット訂正・2ビット検出）で訂正できていた。研究チームはGPUThorで、500倍から23,500倍のビットフリップを誘発することに成功し、ECCの保護を上回ったと説明している。

検証対象は、いずれもGDDR6メモリを搭載するAmpere世代のワークステーション向けGPU4機種（NVIDIA A4000、A4500、A5000、A6000）である。ECCを無効にした状態で24時間、GPUごとに4バンクを測定した結果、72,000〜377,000 flips/GBを記録した。これはCPU向けの最強クラスのRowhammer攻撃（例：BlacksmithのDDR4で約55万flips/GB）に匹敵する水準だと研究チームは述べている。

GPUThorは、GPUのwarp（ワープ）内・warp間・キャッシュラインをまたがるアクセス統合の挙動を解析し、1つのwarpで最大1回の攻撃だけを発行することで統合を回避する。さらに、従来は1リフレッシュ間隔（tREFI、GDDR6では最大1.9マイクロ秒）に1回と想定されていたTRRの発動間隔を、ビット反転の再現性を手がかりに解析し、約6回に1回の頻度で発動することを突き止めた。6-tREFIパターンで約11万回の攻撃活性化を持続させることで、従来の均一な攻撃の6.6倍の強度を実現している。

ECC有効でも成立する2つの攻撃

研究チームは、ECCを有効にした状態でも2種類の攻撃が成立することを示した。

1. DoS（サービス拒否）：GPUのECCは16バイト単位で1ビットエラーを訂正し、2ビットエラーを検出する。GPUThorは同一チャンク内で訂正不能な2ビットエラーと、検知できず誤った値に「修復」される3ビットエラーを誘発する。A6000でECCを有効にした検証では、GPUThorが訂正不能エラーを強制し、GPUとその上で動作するすべてのジョブを停止させることを確認した。

2. root権限への昇格：GPUのページテーブルを反転させることで、権限を持たないGPUプログラムが任意のメモリを読み書きし、ホストOSでrootシェルを開く攻撃である。先行研究のGPUBreachがECC無効環境で示した手法を、GPUThorはECCが有効な状態で初めてrootシェル取得まで到達させたとしている。

研究チームは、これらの攻撃がクラウドなどでGPUを複数ユーザーで時間共有する環境では、同一カード上で動作する攻撃者が被害者のデータを改ざんしたり共有GPUをクラッシュさせたりするリスクにつながると指摘している。時間共有でなくても、インターネットから取得した機械学習モデルなどに紛れた不正なコードがGPU上で実行されれば、システム全体への侵入経路になり得るとしている。

影響を受ける製品とNVIDIAの対応

GPUThorの検証でビット反転が確認されたのは、GDDR6を搭載するAmpere世代のワークステーション向けGPU4機種である。研究チームは、HBMやGDDR6X、GDDR7など他のメモリ種別では、今回のパターンでは反転を確認できなかったとしている。ただし、異なるパターンで反転が起きる可能性を否定できず、今後の研究が必要だと述べている。新しいHBM3やGDDR7ではオンダイECCが追加され、エラーの可視性が下がるため反転の有無の判断が難しくなるとも補足している。

研究チームは、2026年4月29日にNVIDIAへGPUThorを開示し、主要クラウドプロバイダー（Google、Microsoft、AWS）にも通知した。NVIDIAの要請により、**2026年8月25日まで非公開（embargo）**とされ、同日にNVIDIAがセキュリティ情報を公開した。NVIDIAのセキュリティ情報では、対策としてドライバーやファームウェアの更新が案内されている。研究チームは、ECCを有効にしても十分な防御にならない一方で、ECCは攻撃の難易度を上げるため有効化自体は推奨されると述べている。

特設サイトのFAQでは、研究チームが「ECCを有効にしただけで安全か」という問いに対し、「いいえ。SECDED ECCは単一ビットエラーを訂正するが、GPUThorは同一ECCチャンク内で2ビット・3ビットエラーを誘発し、訂正不能または誤訂正を引き起こす。ECC有効でもクラッシュと権限昇格を確認した」と回答している。

対策

特設サイトと論文、NVIDIAのセキュリティ情報が示す対応は次のとおりである。

• NVIDIAのセキュリティ情報を確認し、推奨されるドライバー・ファームウェア更新を適用する。研究チームはNVIDIAが8月25日に公開したセキュリティ情報へのリンクを特設サイトに掲載している。
• ECCは有効化を維持する。研究チームはECCが単独で十分な防御ではなくなったと指摘しつつも、攻撃の障壁を上げるため有効化を維持する価値があるとしている。
• GPUを多人数で共有するクラウド環境では、同一GPU上でのテナント分離や信頼できないコードの実行制限を検討する。研究チームは、信頼できないモデルやパッケージがGPU上で権限昇格の起点になり得ると警告している。

NVIDIAのセキュリティ情報の詳細な適用手順や対象バージョンは、NVIDIAが公開する公式情報で確認する必要がある。

出典

• GPUThor公式サイト（研究チーム）： https://gputhor.com/
• 論文（CCS 2026）： https://gururaj-s.github.io/assets/pdf/CCS26_GPUThor.pdf
• NVIDIAセキュリティ情報： https://nvidia.custhelp.com/app/answers/detail/a_id/5873