Un inquilino de la nube que no utilice nada más que el acceso normal a la GPU puede aumentar y disminuir el consumo de energía de un centro de datos lo suficientemente rápido como para amenazar la red en la que se ejecuta, sin explotar ni entrar.
Ese es el reclamo detrás Bit2Wattdescrito por tres investigadores de la Universidad de Zhejiang en un artículo aceptado para CHÉS 2026la conferencia de seguridad de hardware de la IACR, y la evidencia se divide en dos: midieron la modulación de potencia en GPU reales y simularon la desestabilización de la red que podría causar.
La técnica invierte el modelo habitual de ataque a la red: sin sensores comprometidos, sin malware en los sistemas de control, sin credenciales de operador robadas, solo una carga de trabajo creada para comportarse mal a propósito.
Funciona porque el consumo de energía de una GPU sigue lo que sea que esté computando. Saturar los núcleos tensoriales y los picos de corriente; cae al ralentí y colapsa. Alterne entre esos estados según un cronograma y obtendrá una oscilación de energía controlable en el enchufe de la pared.
Los autores lo formulan como una pregunta contundente: ¿pueden «acciones puramente computacionales, ejecutadas como cargas de trabajo legítimas, usarse como arma para desestabilizar la infraestructura energética»? El resto del artículo es su respuesta.
Dos maneras de entrar
El primer método, al que llaman SWMAcarga un kernel CUDA especialmente diseñado que alterna entre un modo de computación de alta intensidad y uno casi inactivo. Un controlador del lado del host establece el programa de conmutación y alterna el modo a través de un único indicador de memoria unificada asignado con cudaMallocAdministradoherramientas estándar en lugar de algo exótico.
En las GPU probadas, la carga de trabajo sintética produjo componentes de potencia desde aproximadamente 1,5 kHz hasta 6 kHz, alcanzando un máximo en un RTX 4090, muy por encima de los pocos hercios que produce una carga doméstica oscilante como un aire acondicionado.
Se mantuvo en GPU de centros de datos como la A100 y Tesla V100, no solo en tarjetas de juegos. El kernel personalizado y su estrecho ciclo de sondeo son el tipo de cosas que un proveedor podría aprender a tomar huellas dactilares.
El segundo, LTMAes el que debería preocupar a los operadores. En lugar de un núcleo sintético, entierra la modulación dentro de una ejecución de entrenamiento LLM real, ajustando hiperparámetros e insertando operaciones auxiliares para hacer que la carga informática suba y baje sin interrumpir el entrenamiento.
El control es más flexible que el de SWMA, limitado por la rapidez con la que se itera el bucle de entrenamiento, y las frecuencias son más bajas, aproximadamente de 1,2 a 3 kHz. Pero alcanza una amplitud mayor y se mezcla con el ruido normal del entrenamiento, que es exactamente lo que lo hace más difícil de detectar. Ninguno de los métodos necesita privilegios elevados, porque un inquilino ya controla sus propios guiones de capacitación y horarios de trabajo.
Esas son cifras de una sola GPU y solo afectan a granel. El artículo modela el caso en su forma más peligrosa: una red local simulada de 1 MW, alimentada en un 90% por recursos energéticos distribuidos (la energía solar del tejado y las baterías alimentan cada vez más las redes locales), con 1.000 GPU modulando en perfecta sintonía.
En esa simulación del peor de los casos, la distorsión armónica total (THD) actual alcanzó el 46,8%, muy por encima de la pauta del 13% con la que el documento lo compara según IEC 61000-3-12. La relación de amortiguación cayó a -0,27, un valor negativo que marca un modo inestable, donde la rejilla amplifica una perturbación en lugar de amortiguarla.
El documento lleva el modelo aún más lejos, hacia una red de 9.241 buses destinada a parecerse a la red de transmisión europea, donde una perturbación localizada equivalente al 2% de la carga del sistema cae en cascada a lo largo de 13 etapas y elimina alrededor del 81% de la carga. Ese número acumula supuestos del peor de los casos en un modelo específico, y es una propiedad de la simulación, no un pronóstico de nada real.
Ese paso firme es la suposición que soporta la carga y la optimista para el atacante: el documento admite que alinear las transiciones de energía a través de una flota real de GPU en la nube sigue siendo un problema abierto. En su propio modelo de 2 kHz, la fluctuación temporal con una desviación estándar de 100 microsegundos redujo la amplitud agregada en aproximadamente un 20%, y el artículo no afirma que esa cifra refleje una nube típica.
Un ataque real necesitaría que se alinearan varias cosas a la vez: suficientes GPU agrupadas físicamente, una estrecha sincronización entre ellas, una modulación que sobreviva a las etapas de acondicionamiento de energía del centro de datos y una red cuyas resonancias amplifican la frecuencia elegida.
Los experimentos físicos se realizaron en bancos de pruebas controlados y el daño a escala de red provino de la simulación, sin ataques a sistemas de producción ni fallas de seguridad reveladas en ningún producto comercial específico.
Hacker News se ha puesto en contacto con investigadores de la Universidad de Zhejiang para comentar hasta qué punto escala el ataque en un entorno de nube real y actualizará esta historia con cualquier respuesta.
Lo que impide que sea puramente académico es que la física ya está registrada. En agosto de 2025, Microsoft, OpenAI y NVIDIA publicaron su propio papel sobre la estabilización del poder de entrenamiento de la IA, advirtiendo que las oscilaciones sincronizadas de grandes trabajos de entrenamiento pueden, cuando su frecuencia se alinea con las frecuencias críticas de una empresa de servicios públicos, «causar daños físicos a la infraestructura de la red eléctrica».
Bit2Watt toma ese efecto accidental y pregunta qué podría hacer un inquilino con él deliberadamente.
La red también se ha visto asustada por el mal comportamiento de los centros de datos por accidente. En julio de 2024, una falla de transmisión en una zona del norte de Virginia con gran densidad de centros de datos causó aproximadamente 1.500 MW de carga del centro de datos desconectarse de la red de inmediato, cuando los propios sistemas de protección de las instalaciones las cortaron para obtener energía de respaldo.
NERC, que supervisa la confiabilidad de la red de América del Norte, dijo que la perturbación no representaba ningún riesgo para la confiabilidad en ese momento, aunque los operadores sí tuvieron que corregir el voltaje. Advirtió que el peligro crece a medida que estas cargas aumentan, y su comité técnico creó un grupo de trabajo sobre cargas grandes más adelante en 2024 para estudiarlas.
Nadie atacó nada; los centros de datos se protegieron. La cuestión no es que la red estuvo a punto de fallar, sino que una carga de ese tamaño puede caer en un instante, más rápido de lo que los operadores pueden planificar, y el riesgo aumenta a medida que estas flotas crecen.
El ciclo se cierra con lo que los autores llaman Watt2Bit, la perturbación que se retroalimenta al lado de la computación. El análisis del artículo muestra cómo el calentamiento impulsado por armónicos y la corriente elevada podrían activar la protección térmica o contra sobrecorriente y apagar los servidores GPU, convirtiendo un problema de calidad de energía en una denegación de servicio.
Lo que es más extraño aún, la misma modulación también funciona como un canal encubierto. Codificando bits como dos frecuencias, 2 kHz para 1 y 200 Hz para 0, el equipo capturó las emisiones electromagnéticas en una antena de campo cercano conectada a una radio definida por software y recuperó una secuencia de prueba de 50 bits con cero errores.
Es un primo cercano de PowerHammer, el ataque de exfiltración de datos de espacio aéreo que THN cubrió en 2018, con una distinción: PowerHammer lee datos conducidos a lo largo de la línea eléctrica, conectados en cualquier lugar desde el tomacorriente hasta el panel eléctrico del edificio, mientras que el canal de Bit2Watt necesita una antena que capte EMI de campo cercano directamente en el hardware.
Ninguno de los dos se comunica a través de Internet; ambos necesitan un punto de apoyo físico cerca de la energía o de la máquina.
No hay errores que parchear
La telemetría estándar apenas lo detecta. Los contadores de la PDU en rack se muestrean una vez por segundo, la telemetría NVML de NVIDIA a 450 Hz e incluso las interfaces comunes más rápidas, RAPL y BMC de servidor, alcanzan un máximo cercano a 1 kHz, mientras que la modulación es varias veces mayor.
Un detector liviano que los investigadores construyeron con energía y datos NVML tuvo un desempeño deficiente; agregar funciones de creación de perfiles de GPU lo mejoró y la detección EMI dedicada funcionó mejor. LTMA fue consistentemente más difícil de detectar que SWMA. Esos resultados provienen de un detector de grado de investigación, no de los sistemas propietarios que podría ejecutar un gran proveedor de nube, por lo que no prueban que un hiperescalador lo pasaría por alto.
El mayor problema no es la visibilidad. No hay ningún error del producto que corregir, porque la exposición es la arquitectura misma: el estrecho acoplamiento entre la carga volátil de la GPU y una red con muchos inversores, que ningún monitoreo convencional vigila.
El artículo ofrece defensas para ambos lados a la vez: baterías, supercondensadores y filtrado de armónicos en el lado de la energía; detección de anomalías en la utilización de GPU y programas de capacitación en el lado de la computación. Enmarca un sistema único que une a los dos como trabajo futuro.
El lado de la computación y el lado de la red son administrados por diferentes compañías, monitoreados por diferentes herramientas, y ninguno está diseñado para vigilar al otro. En esa costura es donde vive Bit2Watt, y ahora mismo no tiene dueño.
