随着人工智能和机器学习的迅猛发展，图形处理单元（GPU）在加速计算任务中扮演着日益重要的角色。尤其是在云计算环境或多用户共享GPU资源的情况下，GPU显存的安全性逐渐成为业界和学术界关注的焦点。显存，尤其是采用GDDR6的高性能GPU内存，长期以来被认为比CPU内存更为安全，部分原因是其较高的刷新率和更快的响应机制，使得传统CPU内存中的硬件攻击难以迁移。然而，最新的研究表明，一个名为GPUHammer的Rowhammer攻击技术，在GPU显存环境中同样具有实用性，揭开了GPU显存安全的新隐忧。Rowhammer攻击最早于2014年被发现，是一种基于硬件的脆弱性，通过快速且反复激活内存中某一特定行，诱发相邻内存行出现单比特甚至多比特的错误翻转。虽然此类攻击在CPU和传统DDR系列内存环境下已被广泛研究，但GPU显存尤其是GDDR6中的此类攻击一直尚未得到充分证实。
GPUHammer项目由多伦多大学的研究人员团队完成，展示了首次能够有效实施GPU显存Rowhammer攻击的技术方法，尤其针对NVIDIA RTX A6000的GDDR6显存。研究揭示，即便GDDR6内存内置了诸如目标行刷新（Target Row Refresh, TRR）等硬件防御机制，但通过巧妙的多线程并行激活以及刷新命令同步，依然可以在被攻击的显存芯片中成功诱发bit翻转。该团队首先通过逆向工程方法，针对NVIDIA GPU中虚拟地址到物理内存地址的映射规律进行了深入分析。不同于CPU系统中可以直接访问物理地址，GPU在设计上对物理内存地址进行了隐藏，使得定位相邻行变得复杂。借鉴DRAMA攻击的思路，研究者通过测量不同地址对访问延迟差异，成功区分了映射至同一DRAM bank的地址对及非同一bank的地址对。为克服内存访问的非均匀性（NUMA效应）导致的干扰，通过对孤立访问延时加以筛选，得到明确的同银行地址集合，奠定了后续高效Hammering的基础。
GPU的SIMT（单指令多线程）架构特性被巧妙利用。由于单线程Hammering无法达到所需的高频激活率，研究团队设计了多线程、多warp的并行激活策略，最大化了内存控制器的利用率，以极大提高对目标内存行的反复激活次数。通过优化线程调度和warp间的隐式延迟插入，有效避免了CUDA线程同步可能导致的执行顺序混乱，实现了与刷新信号精确同步的破坏性Hammering模式。实验证明，GPUHammer能够在NVIDIA RTX A6000的多个DRAM bank中诱发多达8处独立bit翻转，触发所需的最小激活次数约为12000次，符合DDR4环境下的攻击门槛标准。更为关键的是，借助这些bit翻转，攻击者可针对深度神经网络（DNN）模型权重实施定点破坏。只通过一个单bit翻转，即可使五个不同ImageNet测试模型的Top-1识别准确率从80%骤降至不足1%，极大破坏了模型的推理效果。
此类攻击在多租户共享GPU资源并采取时间片调度的云环境中极具威胁，攻击者通过内存“调情”策略将受害者的数据放置于易受影响的内存行，有针对性地施加Hammering攻击，实现模型破坏或数据篡改。NVIDIA官方针对GPUHammer攻击发布了安全声明，推荐启用ECC（Error Correction Code）作为缓解手段。启用ECC能有效纠正由于Rowhammer引发的单比特错误，但代价是推理延迟可能上升10%，显存容量减少约6.25%。尽管如此，硬件层面的根本缺陷无法通过软件补丁消除，仍需要未来内存设计中整合如PRAC（针对DDR5的新型硬件级防护）或概率性防御PRIDE等技术，提升抗击Rowhammer的能力。目前，H100（HBM3显存）和RTX 5090（GDDR7显存）尚未观察到类似攻击效果，可能得益于其片上已集成的ECC。不过，已有多位学者预警，ECC可能会在应对复杂度更高或多比特翻转攻击时显得力不从心，类似ECCploit等高阶攻击技术可能攻破现有防线。
GPUHammer研究不仅填补了过去GPU显存安全领域的空白，更揭示了未来GPU共享环境中尚存的潜在风暴。其攻击流程、技术细节及实验验证为学术界、工业界提供了宝贵参考，为防护产品设计及系统加固提供现实依据。未来研究或将进一步探究其他显存类型、不同GPU架构下的Rowhammer风险，以及更高效的检测与响应机制。对于云服务提供商及GPU密集型应用开发者而言，认识和防范GPUHammer类型攻击刻不容缓。合理启用ECC、优化内存分配策略以及引入针对硬件缺陷的安全设计，将是保护GPU内存安全的关键路径。综上所述，GPUHammer以其创新的攻击策略和令人警醒的实验结果，正式宣告了GPU显存Rowhammer威胁的现实可行性，对GPU计算生态圈提出严峻挑战。
对相关利益方而言，只有充分理解并积极应对，方能保障日益重要的GPU驱动AI算力的安全、稳定与可信。
