GPUBreach: el ataque de Rowhammer en GDDR6 que podría convertir la GPU en una puerta de acceso al sistema

Un nuevo vector de ataque que los investigadores de la Universidad de Toronto han bautizado como GPUBreach demuestra que las vulnerabilidades tipo Rowhammer, tradicionalmente asociadas a memorias DRAM de CPU, también pueden explotarse con GDDR6 en tarjetas gráficas para conseguir escalada de privilegios y, en última instancia, una toma completa del sistema.

La clave técnica de GPUBreach es inducir volteos de bit (bit-flips) en la memoria GDDR6 de la GPU de forma controlada. Esos errores no solo corrompen bloques de datos: los investigadores lograron afectar las estructuras de gestión de memoria de la propia GPU, en concreto las entradas de las tablas de páginas (PTEs). Al dañar PTEs se consigue que un kernel CUDA sin privilegios obtenga lectura y escritura arbitrarias sobre la memoria de la GPU, una capacidad que puede encadenarse con fallos en el controlador del sistema para llevar la explotación del lado de la GPU al espacio del CPU y obtener privilegios de root.

Para entender la gravedad conviene recordar qué es Rowhammer: es un efecto físico en memorias DRAM que permite, mediante accesos repetidos y cuidadosamente dirigidos a filas adyacentes, forzar que bits se inviertan en celdas vecinas. GPUBreach aplica este principio a chips GDDR6 usados por muchas GPU modernas y muestra que el resultado puede escapar del ámbito de mera corrupción de datos y convertirse en una vía de escalada de privilegios.

Que la exploitación llegue a corromper las tablas de páginas de la GPU es lo que hace el salto especialmente peligroso: las PTEs definen qué páginas de memoria existen y con qué permisos; si un proceso malicioso reescribe esas entradas puede redirigir accesos, mapear regiones ajenas o mutear protecciones, y con ello leer y modificar memoria tanto de la GPU como, potencialmente, forzar condiciones aprovechables por el controlador del sistema.

El equipo de la Universidad de Toronto presentó su trabajo en la web del proyecto GPUBreach y publicará el artículo técnico completo el 13 de abril en el congreso IEEE Symposium on Security & Privacy; la versión preliminar técnica ya está disponible en su documento y el código de reproducción se depositó en GitHub en sith-lab/gpubreach.

En sus experimentos los investigadores utilizaron una NVIDIA RTX A6000 con GDDR6, una GPU frecuente en entornos de desarrollo y entrenamiento de modelos de IA. Esto coloca el problema en un lugar crítico: infraestructuras y estaciones de trabajo que ejecutan cargas de aprendizaje automático suelen exponer APIs y entornos donde se pueden cargar kernels y tareas por usuarios que no siempre están completamente aislados.

Una defensa obvia contra flips de bit son las memorias ECC: corrigen errores de un bit y detectan muchos dobles flips. Pero la protección que ofrece ECC no es infalible frente a errores múltiples ni es estándar en GPUs de consumo. Los autores señalan además que el uso de la protección IOMMU —el hardware que gestiona y restringe el acceso directo a memoria por dispositivos (DMA), pensado para evitar que un dispositivo acceda libremente a regiones arbitrarias de RAM— no impide GPUBreach cuando la GPU es capaz de corromper el estado del controlador de confianza. Para una introducción al concepto de IOMMU puede consultarse la documentación de Intel sobre VT-d: qué es VT-d.

Los autores reportaron sus hallazgos a los proveedores afectados (NVIDIA, Google, AWS y Microsoft) y algunas de esas compañías ya han respondido. Google reconoció el informe y concedió una recompensa; NVIDIA indicó que puede ampliar su aviso de seguridad previo de julio de 2025 para reflejar nuevas vías de ataque relacionadas con GDDR6. El aviso previo de NVIDIA puede consultarse en su página de soporte. Es importante seguir de cerca los avisos oficiales de los fabricantes para aplicar parches y mitigaciones tan pronto estén disponibles.

Desde el punto de vista práctico, GPUBreach trasciende la mera demostración teórica: no solo muestra que se pueden inducir bit-flips en GDDR6 de forma reproducible, sino que esas corrupciones pueden ser aprovechadas para alterar estructuras críticas y elevar privilegios sin la necesidad de desactivar protecciones como la IOMMU, algo que marcaba la diferencia frente a trabajos anteriores sobre Rowhammer en GPUs. Una investigación previa del mismo grupo, conocida como GPUHammer, ya había demostrado la viabilidad de Rowhammer en memorias de GPU; GPUBreach lleva la posta más allá, hacia la escalada completa a nivel de sistema.

¿Qué pueden hacer usuarios y administradores ahora mismo? Primero, minimizar el riesgo evitando ejecutar código no verificado en GPUs que manejen datos sensibles o pertenezcan a entornos compartidos. Segundo, cuando sea posible, optar por hardware con soporte ECC y activar las mitigaciones recomendadas por el fabricante. Tercero, mantener controladores y firmwares actualizados y aplicar configuraciones de seguridad del proveedor para restringir quién puede cargar kernels en los dispositivos GPU. Finalmente, en entornos en la nube, revisar las políticas de aislamiento de GPU ofrecidas por el proveedor y exigir garantías sobre mitigaciones hardware/firmware.

GPUBreach es un recordatorio potente de que la superficie de ataque de la GPU ya no es periférica: las GPUs son ahora componentes críticos y complejos que manejan memoria, realizan virtualización y exponen interfaces que, mal protegidas, ofrecen caminos a compromisos a gran escala. La investigación completa estará disponible en la publicación técnica y el repositorio enlazados arriba, y su presentación en el IEEE S&P permitirá a la comunidad revisarla en detalle y trabajar en contramedidas.

Para quienes quieran profundizar, además de la página del proyecto y el paper, conviene seguir la cobertura técnica especializada y las notas de seguridad de los fabricantes. Mantenerse informado y aplicar una política de menores privilegios y aislamiento en entornos que usan GPU mitigará el riesgo hasta que existan parches y medidas de diseño a nivel de hardware que resuelvan estas nuevas categorías de ataques.