浙江大学の研究者らは、クラウドテナントの正当なGPUアクセスを送電網に対する武器に変える攻撃手法を実証した — エクスプロイトもマルウェアも不正アクセスも必要としない。
Bit2Wattと呼ばれ、ハードウェアセキュリティ会議CHES 2026に採択されたこの攻撃は、GPU計算ワークロードに内在する電力変動を悪用する。GPUを高負荷計算とほぼアイドル状態の間で注意深く変調させることで、テナントは電力系統事業者が通常監視する周波数をはるかに超える電力振動を生み出すことができる。
仕組み
研究者らは2つの変形手法を考案した。より単純なSynthetic Workload Modulation Attack（合成ワークロード変調攻撃）は、計算状態とアイドル状態を切り替えるカスタムCUDAカーネルをアップロードし、単一GPUで1.5～6キロヘルツの振動を発生させる — エアコンなどの従来の負荷が生み出す数ヘルツよりも数桁速い。より高度なTraining Workload Modulation Attack（訓練ワークロード変調攻撃）は、ハイパーパラメータを調整することで実際の大規模言語モデル訓練の内部に変調を埋め込み、通常のAI運用とほぼ区別がつかないようにする。
太陽光やバッテリーなどの分散型エネルギー資源を主電源とする1メガワットの地域グリッドのシミュレーションでは、1,000基のGPUが同期して変調した場合、46.8パーセントの全高調波歪みが発生した — IEC 61000-3-12規格で設定された13パーセントのガイドラインの3倍以上である。この攻撃はまた、負の減衰比をもたらし、系統が外乱を減衰させるどころか増幅させることを意味する。
研究者らが欧州送電網に類似した9,241バスのモデルにシミュレーションを拡大したところ、系統負荷の2パーセントに相当する局所的外乱が13段階にわたって連鎖し、約81パーセントの負荷が遮断された。
既知のリスク、新たな武器化
根本的な現象は新しいものではない。MetaのLlama 3論文は、「数万基のGPUが同時に消費電力を増減させる可能性があり…瞬時に数十メガワット規模の変動を引き起こし、電力網の限界を押し広げる」と認めている。Microsoft、Nvidia、OpenAIの共著による2025年の論文は、AI訓練の電力変動が電力会社の重要な周波数と調和した場合、「電力網インフラに物理的損傷を引き起こす可能性がある」と警告している。
新しいのは、意図的な武器化である。Bit2Wattは、AI訓練の偶発的な副作用であったものを意図的な攻撃に変える。
検出のギャップ
標準的なデータセンター監視ツールではこの攻撃を検出できない。ラックの電力分配ユニットのカウンターは約1Hzでサンプリングする。NvidiaのNVMLツールは450Hzでサンプリングする。サーバーのBMCおよびRAPLインターフェースは約1kHzでサンプリングする。Bit2Wattの変調は1.5～6kHzで動作する — すべての標準的な監視方法で見逃される。「純粋に計算上のアクションが、正当なワークロードとして実行され、電力インフラを不安定化させるために武器化される可能性がある」と研究者らは記している。
この攻撃はまた、電力変調パターンにデータをエンコードするWatt2Bitと呼ばれる隠蔽データ流出チャネルを可能にする。研究チームは近接場アンテナとソフトウェア定義ラジオを使用して、50ビットのテストシーケンスをエラーゼロで復元した。
可能な対策
防御は2つの領域にわたる。電力側では、バッテリー、スーパーキャパシタ、高調波フィルタリングにより、変調された電力変動が系統に到達する前に吸収できる。計算側では、GPU使用パターンと訓練スケジュールの異常検知により、不審な変調を警告できる可能性がある — ただし、巧妙なLTMA変形手法は通常の訓練ノイズに溶け込むように特別に設計されている。
浙江大学の研究チームは、このリスクは仮説的なものではなく構造的なものであると強調している。「電力と計算インフラが収束するにつれ、セキュリティは分野横断的に取り組まれる必要があり、ワークロードの挙動、パワーエレクトロニクス、系統ダイナミクスを考慮した協調的な防御が求められる。」
出典：Malicious cloud customers can bring down the power grid (The Register、2026年7月)；New Bit2Watt Attack Could Let Cloud Tenants Disrupt Power Grids Without an Exploit (The Hacker News、2026年7月)
雅子 訳