GPUの電力消費を操作し送電網を揺るがす――クラウド侵入不要の攻撃手法「Bit2Watt」とは

要点

• 浙江大学の研究グループが、システム侵入を伴わずにクラウドのGPUから電力網を不安定化させる攻撃手法「Bit2Watt」を発表した。
• 攻撃はGPUの負荷と消費電力が連動する特性を利用し、AI学習プログラムなどに特定の処理を挿入して電力消費を周期変動させる。
• 実機実験では高速に負荷を切り替える2手法（SWMAとLTMA）が検証され、特に学習処理に紛れ込ませる手法は検知が困難とされる。
• シミュレーションでは最悪条件下で広範囲な停電を引き起こす結果が得られたが、実際の攻撃にはGPUの精密な同期など高い障壁がある。

リード文

クラウド上に配備されたAI用のGPUを正当なワークロードとして動作させるだけで、データセンターの消費電力を急激に変調させ、接続されている送電網を不安定化できるという検証結果が発表された。これは浙江大学（Zhejiang University）の3人の研究者によるもので、ハードウェアセキュリティの国際会議「CHES 2026」に採択された論文によってその詳細が明らかになった。「Bit2Watt」と呼ばれるこの手法は、システムへの不正侵入や脆弱性の悪用を必要としない新たなタイプのサイバー攻撃として注目を集めている。

本文

従来のインフラ標的型サイバー攻撃は、電力網の管理システムに侵入したり、マルウェア（悪意のあるプログラム）を送り込んだりして不正操作を行うものが一般的だった。しかし、今回のBit2Watt攻撃はそれらとは全く異なるアプローチを取る。クラウドの正規ユーザーとして割り当てられたGPU（画像処理やAIの計算に使われる半導体チップ）の計算処理を工夫し、故意に消費電力を急激に変調させることで、電源を通じて物理的な電力インフラに影響を与えるというものである。

GPUは計算処理の内容によって消費電力が劇的に変化する。特に、AIの行列計算に特化した演算ユニットである「テンサーコア」を満載にする高負荷な計算を走らせれば消費電力は急増し、逆に待機（アイドル）状態になれば急減する。Bit2Wattはこの電力変動をあらかじめプログラムされたスケジュールに沿って繰り返すことで、電源コンセントを通じて電力網に特定の周波数を持つ振動を発生させる。

攻撃を支える2つのアプローチ

研究グループは、この電力を変調させる具体的な手段として、性質の異なる2つの方法を提案し、実機検証を行っている。

1つ目の手法である「SWMA（Software-defined Workload Modulation Attack）」は、専用に作成したCUDAカーネル（GPU上で実行される処理の単位）を走らせる方法である。このカーネルは高負荷計算モードとアイドルモードを高速で切り替える。この制御は、ホスト側のCPUから「cudaMallocManaged」（CPUとGPUで同じメモリ領域を共有するための標準的な関数）で割り当てた単一のフラグを介して行われる。実験では、データセンター用GPU（A100やTesla V100）や家庭用GPU（RTX 4090）を用い、1.5〜6キロヘルツの範囲で電力を変動させることに成功した。ただし、この専用カーネルは処理の特徴が極めて不自然なため、プロバイダ（クラウド事業者）による検知が比較的容易であるという弱点もある。

2つ目の手法「LTMA（LLM Training Modulation Attack）」は、より巧妙で深刻な脅威となり得る。こちらはAIモデルの代表格であるLLM（大規模言語モデル）の通常の学習処理の内部に電力量の調整プログラムを忍び込ませる。学習の進行を妨げない範囲で、ハイパーパラメータ（学習の細かな調整値）を調整したり、補助的な計算を差し挟んだりして、電力負荷の山と谷を作り出す。周波数は1.2〜3キロヘルツ程度とSWMAより低く、制御も緩やかだが、発生する電力の振幅はより大きく、かつ通常のAIトレーニングに紛れ込むため検知することが極めて困難だと説明されている。どちらの手法も、クラウドのテナントが自身に割り当てられた環境のなかで実行するものであるため、システムの管理者権限などを奪取する「特権昇格」は一切不要である。

最悪シナリオのシミュレーションと現実的な限界

研究では、この電力変調が実際の電力網にどのような影響を及ぼすかをシミュレーションで検証している。

太陽光発電や蓄電池などの分散型エネルギー源が90%を占める1メガワット規模のローカルな送電網（電力を供給するためのネットワーク）において、1,000台のGPUが完全にタイミングを合わせてこの電力変調を行った場合のモデルを構築した。その結果、電気の波形の乱れを示す指標である電流の「全高調波歪み（THD）」は46.8%に達し、国際基準（IEC 61000-3-12）の推奨値である13%を大きく上回った。さらに、電力網が外乱を吸収する力を示す「制振比」がマイナスの値（-0.27）となり、電力を安定化させるどころか、わずかな乱れを電力網自体が増幅してしまう極めて不安定な状態に陥ることが示された。

さらに、欧州の基幹送電網を模した大規模なモデル（9,241個の母線を有する系統）でのシミュレーションでは、システム全体の負荷のわずか2%に相当する局所的な電力変動が13段階の連鎖的な波及効果（カスケード）を生み、最終的に約81%の負荷が遮断される結果になったという。ただし、これらの数値は多くの最悪の条件を重ねたうえでのシミュレーション結果であり、現実のインフラでの予測ではない。

論文内でも指摘されている通り、この攻撃を現実のものにするためには「同期（ロックステップ）」という最大のハードルをクリアしなければならない。クラウド上に物理的に離れて存在する多数のGPUに対して、ミリ秒単位で全く同じタイミングで計算負荷を上げ下げさせることは現時点の技術では未解決の課題である。実際、2キロヘルツの変調モデルにおいて、タイミングにわずか100マイクロ秒のズレ（ジッター：信号や処理のタイミングに生じる微小なズレ）が生じるだけで、全体の変調幅は約20%も低下してしまう。

攻撃の成功には、同一クラスター内に十分な数のGPUを確保し、それらを高精度に同期させ、さらにその変動がデータセンター内の無停電電源装置（UPS）やフィルターといった電源保護設備を通過し、かつ電力網の共振特性と一致して増幅される必要がある。

今回の研究における物理的な実験はすべて制御された実験室の環境で行われており、実際の商用クラウドに対する攻撃や、個別の製品への脆弱性の公表などは行われていない。クラウドとハードウェアの相互作用がもたらす新しい物理セキュリティの課題として、今後のインフラ防御に向けた議論が始まっている。