Investigadores de la Universidad de Zhejiang han demostrado una clase de ataque que convierte el acceso legitimo de un inquilino de la nube a una GPU en un arma contra la red electrica — sin exploit, sin malware y sin acceso no autorizado.
El ataque, denominado Bit2Watt y aceptado en la conferencia de seguridad hardware CHES 2026, explota las fluctuaciones de potencia inherentes a las cargas de trabajo de GPU. Modulando cuidadosamente una GPU entre estados de computacion de alta intensidad y casi reposo, un inquilino puede crear oscilaciones de potencia a frecuencias muy superiores a las que los operadores de red monitorean normalmente.
Como funciona
Los investigadores disenaron dos variantes. La mas simple, el Ataque de Modulacion Sintetica de Carga de Trabajo, carga un kernel CUDA personalizado que alterna entre estados de computacion y reposo, produciendo oscilaciones de 1,5 a 6 kilohercios en una sola GPU — varios ordenes de magnitud mas rapidas que los pocos hercios producidos por cargas convencionales como los aires acondicionados. La variante mas sofisticada, el Ataque de Modulacion de Carga de Trabajo de Entrenamiento, incrusta la modulacion dentro de un entrenamiento real de un modelo de lenguaje de gran escala ajustando hiperparametros, lo que la hace casi indistinguible de las operaciones normales de IA.
En simulaciones de una red local de 1 megavatio alimentada principalmente por recursos energeticos distribuidos como la solar y las baterias, 1.000 GPUs modulando sincronizadamente produjeron un 46,8 por ciento de distorsion armonica total — mas del triple de la directriz del 13 por ciento establecida por la norma IEC 61000-3-12. El ataque tambien introdujo una relacion de amortiguamiento negativa, lo que significa que la red amplificaba la perturbacion en lugar de amortiguarla.
Cuando los investigadores ampliaron la simulacion a un modelo de 9.241 nodos similar a la red de transmision europea, una perturbacion localizada equivalente al 2 por ciento de la carga del sistema se propago en cascada a traves de 13 etapas, desconectando aproximadamente el 81 por ciento de la carga.
Un riesgo conocido, recien armamentizado
El fenomeno subyacente no es nuevo. El articulo de Llama 3 de Meta reconocio que “decenas de miles de GPUs pueden aumentar o disminuir el consumo de energia al mismo tiempo… resultando en fluctuaciones instantaneas del orden de decenas de megavatios, estirando los limites de la red electrica.” Un articulo de 2025 coescrito por Microsoft, Nvidia y OpenAI advirtio que las fluctuaciones de potencia del entrenamiento de IA, si se armonizan con las frecuencias criticas de los servicios publicos, “pueden causar danos fisicos a la infraestructura de la red electrica.”
Lo que es nuevo es la armamentizacion deliberada. Bit2Watt toma lo que era un efecto secundario accidental del entrenamiento de IA y lo convierte en un ataque intencional.
Una brecha de deteccion
Las herramientas de monitoreo estandar de centros de datos no pueden ver el ataque. Los contadores de las unidades de distribucion de energia de los racks muestrean a aproximadamente 1 Hz. La herramienta NVML de Nvidia muestrea a 450 Hz. Las interfaces BMC y RAPL de los servidores muestrean a aproximadamente 1 kHz. La modulacion de Bit2Watt opera de 1,5 a 6 kHz — pasada por alto por todos los metodos de monitoreo estandar. “Acciones puramente computacionales, ejecutadas como cargas de trabajo legitimas, pueden ser armamentizadas para desestabilizar la infraestructura electrica,” escribieron los investigadores.
El ataque tambien permite un canal encubierto de exfiltracion de datos llamado Watt2Bit, que codifica datos en el patron de modulacion de potencia. El equipo recupero una secuencia de prueba de 50 bits con cero errores utilizando una antena de campo cercano y radio definida por software.
Que se puede hacer
Las defensas abarcan dos dominios. En el lado de la potencia, las baterias, los supercondensadores y el filtrado armonico pueden absorber las fluctuaciones de potencia moduladas antes de que lleguen a la red. En el lado computacional, la deteccion de anomalias en los patrones de utilizacion de GPU y los programas de entrenamiento podrian senalar modulaciones sospechosas — aunque la variante LTMA, sutil, esta especificamente disenada para mezclarse con el ruido de entrenamiento normal.
El equipo de la Universidad de Zhejiang enfatizo que el riesgo es estructural mas que hipotetico. “A medida que las infraestructuras electricas y de computacion convergen, la seguridad debe abordarse a traves de los dominios, requiriendo defensas coordinadas que consideren el comportamiento de las cargas de trabajo, la electronica de potencia y la dinamica de la red.”
Fuentes: Malicious cloud customers can bring down the power grid (The Register, julio de 2026); New Bit2Watt Attack Could Let Cloud Tenants Disrupt Power Grids Without an Exploit (The Hacker News, julio de 2026)
Traducido por Alessandra