2026年8月27日、The Hacker Newsは、NVIDIAのAmpere世代ワークステーションGPUを対象とする新たなRowhammer攻撃「GPUThor」について報じました。University of Torontoの研究チームは、GDDR6メモリを搭載したRTX A4000、A4500、A5000、A6000でビット反転を確認し、ECCを有効化したRTX A6000でもサービス拒否やホスト側のroot権限取得につながる攻撃を実証しています。ただし、現時点で実際のサイバー攻撃にGPUThorが悪用されたとの報告はありません。
The Hacker News：New GPUThor Rowhammer Defeats ECC on NVIDIA RTX A6000 to Gain Host Root Access
この記事のポイント
影響のあるシステム
- NVIDIA RTX A6000（48GB GDDR6）：GPUThorによるビット反転が確認され、ECCを有効にした環境でもDoSやホスト側のroot権限取得につながる攻撃が実証されています。
- NVIDIA RTX A5000（24GB GDDR6）：研究対象の中で最も多いビット反転が確認されています。
- NVIDIA RTX A4500（20GB GDDR6）：GPUThorによるビット反転が確認されています。
- NVIDIA RTX A4000（16GB GDDR6）：同様にGPUThorの攻撃パターンによるビット反転が確認されています。
- 複数利用者で物理GPUを共有するクラウド・GPU環境：信頼できない利用者が同じGPU上でCUDAカーネルを実行できる構成では、特に注意が必要です。
- 信頼できないCUDAコードを実行する単一テナント環境：GPUを共有していない場合でも、不正または侵害されたコードをGPU上で実行できればローカル権限昇格につながる可能性があります。
今回の研究結果を、すべてのNVIDIA GPUがGPUThorの影響を受けるという意味で捉えるのは正確ではありません。同じ攻撃パターンを使ったテストでは、A10、L4、L40、RTX 4090、A30などでビット反転は確認されませんでした。またA100とH100は今回の検証対象外です。製品やメモリ技術によって内部の防御機構が異なるため、確認済みの影響範囲と未検証の製品を分けて考える必要があります。
推奨される対策
- 対応製品ではSystem-Level ECC（SYS-ECC）を有効にしてください。
- ECCだけに依存せず、ホスト側のIOMMU／DMA isolationも有効化してください。
- 信頼関係のない複数ユーザー間で、同じ物理GPUを共有する構成を可能な限り避けてください。
- 信頼できないCUDAカーネルや第三者提供コードをGPU上で不用意に実行しないでください。
- クラウドGPUやAI基盤では、テナント分離とGPUのスケジューリング方式を確認してください。
- GPUのECCエラーカウンターを監視し、修正可能エラーが急増していないか確認してください。
- 繰り返される修正不能エラー、GPUリセット、row-remappingなどをセキュリティ監視対象に含めてください。
- 影響が確認されたAmpere世代ワークステーションGPUを共有基盤で使用している場合は、利用形態とリスクを再評価してください。
- NVIDIAのSecurity Noticeを継続して確認し、追加の緩和策や製品情報が公開された場合は反映してください。
NVIDIAはECCを無意味な対策とはしておらず、引き続き有効化を推奨しています。ただしGPUThorによってECC単独では十分な防御にならないケースが示されたため、IOMMUによるDMA分離、テナント分離、エラー監視などを組み合わせた多層防御が重要です。
この記事に出てくる専門用語
- GPUThor：University of Torontoの研究者が発表した、NVIDIA GPUのGDDR6メモリを対象とする新しいRowhammer攻撃です。従来より効率的にビット反転を発生させ、ECCが有効なGPUでもDoSや権限昇格につながる可能性を実証しています。
- Rowhammer：DRAM内の特定のメモリ行へ非常に高い頻度でアクセスを繰り返し、隣接するメモリセルの電荷に影響を与えて、本来の値とは異なるビットへ反転させる攻撃手法です。
- ECC（Error Correcting Code）：メモリ上で発生したビットエラーを検出・修正する仕組みです。今回対象となったGPUでは主に1ビットのエラーを修正し、2ビットのエラーを検出できるSECDED方式が利用されています。
- SECDED：Single Error Correction, Double Error Detectionの略で、1ビットのエラーを修正し、2ビットのエラーを検出できるECC方式です。GPUThorでは複数ビットを同時に反転させることで、この保護の限界を突いています。
- SDC（Silent Data Corruption）：メモリ内のデータが誤った値に変化しているにもかかわらず、システムが正常なデータとして処理してしまう状態です。GPUThorでは3ビットの反転により、この状態が発生することが確認されています。
- DUE（Detected Uncorrectable Error）：ECCが異常を検出したものの、修正できないエラーです。今回の研究では、こうしたエラーによりGPU上で実行中の処理が停止し、GPUのリセットが必要になるケースが確認されています。
- TRR（Target Row Refresh）：頻繁にアクセスされるDRAMのメモリ行を検知し、その周辺を追加でリフレッシュすることでRowhammerによるビット反転を防ぐ仕組みです。
- Non-Uniform Hammering：Rowhammerで攻撃対象に隣接する特定のメモリ行へ、ほかの行よりも集中的にアクセスする手法です。GPUThorはこの方式をGPU上で実現し、従来のGPU向けRowhammer攻撃より高いビット反転率を実現しています。
- CUDA Kernel：NVIDIA GPU上で実行されるプログラム処理の単位です。GPUThorを実行するには、対象GPU上で権限の低いCUDAカーネルを実行できることが前提となります。
- IOMMU：GPUなどのデバイスがアクセスできるシステムメモリの範囲を制御する仕組みです。DMA経由でデバイスからホストメモリへ不正にアクセスされるリスクを低減するために利用されます。
- DMA（Direct Memory Access）：GPUなどのデバイスがCPUを介さずに直接メモリへアクセスする仕組みです。高速化に役立つ一方、適切に分離されていない場合は権限境界を越えたアクセスのリスクにつながる可能性があります。
- root：LinuxなどのOSで最も高い権限を持つ管理者アカウントです。root権限を取得されると、原則としてシステム全体のファイル、プロセス、設定などを広範囲に操作される可能性があります。
GPUのメモリを物理的に揺さぶり、データを書き換えるRowhammer
Rowhammerは、ソフトウェアの一般的なバグを悪用する攻撃とは性質が異なります。DRAMでは非常に小さなメモリセルが近接して配置されており、特定のメモリ行を極めて高い頻度で繰り返し動作させると、隣接するセルの電荷状態に影響が及ぶ場合があります。その結果、本来「0」であるはずのビットが「1」へ変わるなどのビット反転が発生する可能性があります。
GPUThorは、この現象をNVIDIAのGPUメモリ上で効率的に引き起こすために、従来のGPU向けRowhammerとは異なるアクセスパターンを採用しています。研究チームは、攻撃対象のメモリ行に隣接する「aggressor row」を、TRRを回避するために使うほかの行よりも高い頻度で動作させるNon-Uniform HammeringをGPU上で実現しました。
GPUでは複数のメモリアクセスが内部でまとめられるため、単純に同じ場所へ繰り返しアクセスしても、DRAM上では1回の動作に統合される場合があります。研究チームはGPU内部のこの挙動を調査し、異なるwarpから同じメモリ行の異なるcache lineへアクセスすることで、複数の独立したDRAMアクセスとして処理される方法を利用しました。
これによりGPUThorは、研究チームによる従来のGPUHammerよりも攻撃対象のメモリ行を約6.6倍強くhammeringできるとされています。単にアクセス回数を増やすのではなく、GPUとGDDR6メモリ内部の動作を分析したうえで、Rowhammer防御が働きにくいパターンを構築した点が今回の研究の特徴です。
4種類のAmpere GPUで大量のビット反転を確認
研究チームは、Ampere世代のNVIDIA RTX A6000、A5000、A4500、A4000という4種類のワークステーションGPUを対象に実験を行いました。それぞれについて複数のDRAM bankを長時間hammeringしたところ、すべてのモデルでビット反転が確認されています。
ECCを無効にした状態で確認されたビット反転は、1GBあたり約72,000件から377,000件に達しました。特にRTX A5000では1GBあたり377,552件が確認され、研究チームが2025年に公開したGPUHammerの16件と比較すると23,000倍を超える規模です。RTX A6000でも約114,000件、A4500で約75,000件、A4000で約72,000件と報告されています。
この大量のビット反転によって重要になるのが、複数のビットが同じECC保護単位内で同時に変化する可能性です。研究では、4枚のGPUから387件の2ビット反転と2件の3ビット反転が確認されました。従来のGPU向けRowhammerでは主に単一ビットの反転が中心であったため、ECCを有効化することで攻撃を大幅に抑えられていました。
ただし、今回確認された結果は対象となった4種類のGPUにおける実験結果です。同じGPUThorのパターンをA10、L4、L40、RTX 4090、A30などへ適用したテストではビット反転は確認されませんでした。メモリ技術や内部のTRR実装などによって結果が変わるため、Ampere世代やNVIDIA GPU全体を一律に影響対象とするのは適切ではありません。
ECCを有効にしてもDoSとデータ破損を完全には防げず
NVIDIA GPUで利用されるSystem-Level ECCは、Rowhammerに対する重要な防御の一つです。今回対象となったGPUではSECDEDと呼ばれる方式が使われており、保護対象となるデータの中で1ビットが反転した場合には修正し、2ビットが反転した場合には異常を検出できます。2025年に発表されたGPUHammerでは、このECCを有効化することで攻撃が抑えられることが示されていました。
GPUThorは、より高い密度でビット反転を発生させることで、この防御の限界を示しています。2ビットのエラーが発生した場合、ECCは異常を検出できますが修正できないDUEとなります。研究チームがECCを有効にしたRTX A6000で1日間実験したところ、11件のDUEと1件のSDCが確認されました。DUEが発生するとGPU上で動作しているすべてのカーネルが停止し、GPUをリセットするまで利用できなくなるため、DoSにつながる可能性があります。
さらに3ビットの反転では、SECDEDが正しく異常を判定できず、誤った値へ「修正」してしまうケースが確認されています。これがSilent Data Corruptionです。システム上ではエラーとして認識されない可能性があるため、通常のECCエラー監視だけでは発見できない場合があります。
この結果は「ECCを有効にしても意味がない」ということではありません。NVIDIAも研究チームも、SYS-ECCは引き続き重要な防御層であるとしています。単一ビットエラーの修正や多くの異常の検出には有効ですが、GPUThorのような高強度のRowhammerに対して、ECCだけを唯一の防御策として扱うのは十分ではないという点が今回の重要な変化です。
GPUメモリの破損からホストOSのroot権限へ
GPUThorの研究で特に重大なのは、単にGPUを停止させるだけではなく、GPU上の権限の低いプログラムからホストOSのroot権限へ到達する攻撃が実証された点です。研究チームは、以前発表したGPUBreachで利用したGPUのpage tableを狙う権限昇格手法とGPUThorを組み合わせています。
page tableは、プログラムが使用する仮想的なメモリアドレスと、実際の物理メモリ上の場所を対応付ける重要な情報です。研究ではこのpage tableを攻撃可能なメモリ行へ配置したうえで、隣接する行にRowhammerを行い、page table内のpage-frame numberを示すビットを変化させました。その結果、本来アクセスできないメモリ領域へGPUカーネルから到達できる状態を作り出しています。
研究チームは、3ビットのSDCを利用することでIOMMUが有効な環境でもホスト側のroot権限を取得したと報告しています。またIOMMUが無効なシステムでは、2ビットのDUEを利用した別の経路でもホスト側の権限昇格を実証しています。DUEが検出されてからGPUが停止されるまでに短い時間差があり、その間に破損したデータを攻撃コードから利用できる場合があるためです。
ただし、この攻撃はインターネット上の外部攻撃者がGPUへ直接アクセスするだけで成立するものではありません。攻撃者には対象GPU上で権限の低いCUDAカーネルを実行できる環境が必要です。そのため、特にクラウドの共有GPU、研究用GPUクラスター、第三者コードやAIモデル関連のコードを実行するシステムなどで、信頼境界をどのように設定しているかが重要になります。
共有GPUでは「同じ物理カードを誰と使うか」が重要に
GPUThorを実行するためには、攻撃対象となるGPUでCUDAカーネルを実行できる必要があります。この前提を踏まえると、企業が最も注意すべき利用形態の一つが、信頼関係のない複数利用者で同じ物理GPUを共有する環境です。クラウドGPUやAI計算基盤では、コスト効率を高めるために1つのGPUリソースを複数のワークロードで利用する場合があります。
研究チームは、同じGPUに配置された攻撃者がGPUThorによってメモリへビット反転を発生させ、ほかの処理へ影響を及ぼす可能性を示しています。このため、クラウド事業者やGPU基盤管理者に対して、信頼できないテナント間で同じ物理GPUを共有することを避けるよう推奨しています。
一方、専有GPUだから必ず安全というわけでもありません。単一テナント環境であっても、利用者自身が信頼できないCUDAコードを実行した場合には、ローカル権限昇格の入口となる可能性があります。例えば、外部から取得した機械学習関連のパッケージやコードが侵害されており、GPU上で悪意のあるCUDA処理を実行するようなケースもリスクとして考えられます。
NVIDIAも今回のSecurity Noticeで、GPUの共有方式、仮想化、IOMMU設定、ワークロード分離を組み合わせて評価するよう推奨しています。GPUセキュリティを単純に「ECCを有効にしているか」だけで判断するのではなく、「誰がGPU上でコードを実行できるのか」「物理GPUを誰と共有しているのか」「GPUからホストメモリへのアクセスがどこまで制限されているのか」という観点で確認する必要があります。
現時点でパッチはなく、SYS-ECCとIOMMUを組み合わせて防御
GPUThorには2026年8月27日時点でCVE番号は付与されておらず、研究チームによると、今回の攻撃を根本的に解消するソフトウェアパッチも存在していません。RowhammerはDRAM内部の物理的な挙動に関係するため、完全な対策には、複数ビットのエラーをより強力に訂正できるECCや、メモリ内部のRowhammer防御そのものを強化した将来のハードウェアが必要になるとされています。
NVIDIAは2026年8月のSecurity Noticeで、単一の防御策へ依存しない「defense-in-depth」を推奨しています。まず、対応製品ではSYS-ECCを有効化することが推奨されています。GPUThorによってECCが完全な防御ではないことが示されたものの、多くの1ビットエラーを修正し、複数ビットの異常を検出可能な障害へ変換できるため、依然として重要な保護層です。
次に重要なのが、ホスト側のIOMMUとDMA isolationです。GPU側のメモリ破損がホストの重要なメモリ領域へのアクセスにつながらないよう、デバイスからアクセスできる範囲を制限します。ただし研究ではIOMMUが有効な状態でもSDCを利用したroot権限取得が実証されているため、これだけで完全に防げるとは考えるべきではありません。
加えて、ECCのcorrected-errorカウンターやuncorrectable error、予期しないGPUリセット、row-remappingなどを監視することも推奨されています。Rowhammerを実行する過程では多数の1ビットエラーが発生する可能性があるため、通常とは異なるエラー増加を早期に把握できる場合があります。ただしSDCはエラーとして表面化しない可能性もあるため、監視も万能な検知策ではありません。
攻撃コードは2026年11月15日に公開予定
University of Torontoの研究チームは、GPUThorを2026年4月29日にNVIDIAへ報告し、Google、Microsoft、AWSにも情報を共有したとしています。その後、NVIDIAの要請を受けて2026年8月25日まで研究内容の公開が保留され、NVIDIAもRowhammerに関する新たなSecurity Noticeを公開しました。
元記事が公開された2026年8月27日時点では、GPUThorが実際のサイバー攻撃で悪用されたとの報告はありません。そのため、現段階では研究者によって実証された攻撃手法であり、「GPUThorを使った攻撃がすでに広く発生している」と表現するのは正確ではありません。
一方、研究チームはGPUThorの攻撃コードと研究用artifactを2026年11月15日に公開する予定としています。同日はオランダ・ハーグで開催されるACM SIGSAC Conference on Computer and Communications Security（CCS ’26）の開幕日で、GPUThorの研究論文も同会議で発表される予定です。
攻撃コードの公開が直ちに実攻撃の発生を意味するわけではありませんが、共有GPU基盤を運用するクラウド事業者、研究機関、AI開発企業などにとっては、それまでに影響対象GPUの利用状況やテナント分離、SYS-ECC、IOMMU、エラー監視の状況を確認しておくことが重要です。特にRTX A4000からA6000を複数の信頼できない利用者で共有している環境では、研究成果を単なるハードウェア実験として扱わず、現在の構成でどのような攻撃条件が成立するかを評価する必要があります。
ECCだけに依存しないGPUセキュリティが必要に
GPUThorが示した重要な点は、従来Rowhammerへの有力な防御策とされてきたECCを有効にしていても、攻撃の強度が高まればDoSや権限昇格まで完全に防げるとは限らないことです。しかし、だからといってECCを無効にすべきという結論にはなりません。NVIDIAと研究チームはいずれも、ECCは依然として攻撃の難易度を高める重要な防御策であるとしています。
企業側では、GPUを単なる高速計算装置としてではなく、ホストOSやクラウド環境と強く接続されたセキュリティ境界の一部として管理する必要があります。GPU上でどの利用者がコードを実行できるのか、異なる顧客や部署間で物理GPUが共有されているのか、GPUからホストメモリへのDMAアクセスが適切に制御されているのかといった点が重要になります。
特に生成AIの普及に伴い、GPUクラウドや社内GPUクラスターを複数のユーザーやワークロードで共有するケースは増えています。GPUThorの成立条件には対象GPU上でCUDAカーネルを実行できることが含まれるため、利用者やワークロードを信頼できるかという管理上の問題が、ハードウェアセキュリティにも直接関係します。
現時点では実攻撃は報告されていませんが、影響が確認されたGPUを共有基盤で利用している組織では、SYS-ECC、IOMMU、テナント分離、信頼できないコードの実行制限、エラー監視を組み合わせることが現実的な対策となります。GPUThorは、GPUセキュリティについて「ECCを有効にすれば完了」と考えるのではなく、ハードウェア・OS・仮想化・運用を含めた多層的な防御が必要であることを示す研究といえます。
参考文献・記事一覧
- The Hacker News「New GPUThor Rowhammer Defeats ECC on NVIDIA RTX A6000 to Gain Host Root Access」
- GPUThor「Amplifying Rowhammer Attacks via Non-Uniform Patterns to Exploit ECC-Protected GPUs」
- NVIDIA「Security Notice: NVIDIA Rowhammer – August 2026」
- University of Toronto「GPUThor: Amplifying Rowhammer Attacks via Non-Uniform Patterns to Exploit ECC-Protected GPUs」
投稿者プロフィール
-
CyberCrew（サイバークルー）は、企業の情報セキュリティをトータルで支援する専門チームです。高度なスキルを持つホワイトハッカーが在籍し、サイバー攻撃の監視・検知から初動対応、リスク診断や従業員向けのセキュリティ教育まで、幅広いサービスを提供。企業のニーズに応じた柔軟な対応で、安心・安全なIT環境の実現をサポートします。
■ 情報セキュリティサービス台帳登録事業者
■ セキュリティコンテスト受賞歴
CTF国際大会 世界No.1
CEH Master Leaderboard 世界No.1
Hack The Box Rank TOP10
■ 保有セキュリティ資格
GIAC GXPN、Cisco Cybersecurity Specialist、CEH Master、CEH Practical、
Cyber Security Professional Certificate、OSCP、OSCP+、CPENT、OSWP、
eCPPT、eMAPT、CRTS、SOC-100、PEN-100、
HTB Offshore Penetration Tester（Level 3）
