Contexte technique du GA100 et du contrôleur de fusibles

Le die GA100, utilisé dans les GPU A100 et les cartes de minage CMP 170HX, intègre 128 unités de calcul (SM), 12 blocs de mémoire (FBP), 5 décodeurs vidéo (NVDEC) et un contrôleur PCIe Gen4 x16. Chaque puce possède 16 384 eFuses organisés en 512 lignes de 32 bits. Ces fusibles sont répartis en quatre zones : les fusibles « réguliers » (lignes 0‑221) qui codent des mots‑option simples, les « fuseless » (lignes 222‑487) qui utilisent un format de type JTAG pour encoder des options complexes, les IFF (lignes 487‑512) réservés à la reprogrammation à la volée, et les RIR, un mécanisme de réparation fourni par le fabricant. Les mots‑option issus de ces zones déterminent la segmentation du produit, le nombre de SM activés et l’accès aux fonctions comme NVLink ou MIG.

Mécanisme d’injection de défaut de tension (VFI) et exploitation

La vulnérabilité découverte repose sur une injection de défaut de tension (Voltage Fault Injection, VFI) qui permet de forcer la programmation de n’importe quel eFuse, y compris ceux protégés dans les zones « fuseless ». En pratique, un pic de tension appliqué au contrôleur de fusibles déclenche la logique de programmation sans passer par les vérifications de sécurité, ce qui rend possible le « blow » de fusibles de contrôle (lignes 0‑1) et de fusibles « fuseless ». Le format d’un enregistrement FF est le suivant :

bits 0‑4  : sélecteur de chaîne
bit 5    : type (0 = FF, 1 = IFF)
bits 6‑15: identifiant du bloc (16 bits)
bits 16‑31: nouvelle valeur du bloc (16 bits)

En réécrivant ces enregistrements, l’attaquant peut modifier les mots‑option qui limitent le nombre de SM, la capacité HBM et les interfaces PCIe, transformant ainsi une carte CMP 170HX 8 GB (qui ne expose que ~40 GB de HBM) en un GPU équivalent à un A100‑80G.

Impact sur les performances et les fonctionnalités débloquées

Après le VFI, le GPU débloqué active entre 120 et 126 SM, contre les 108 SM retenus par NVIDIA pour les A100 de production afin d’assurer le rendement de rendement. Cette différence se traduit par une amélioration d’environ 1,2 × du débit de calcul par rapport à un A100 commercial. En outre, les fonctions désactivées sur les cartes mining – NVLink, PCIe Gen4, NVJPG, NVDEC et MIG – deviennent accessibles, bien que certaines (NVJPG, NVDEC, MIG) n’aient pas encore été testées. Le gain de capacité HBM (jusqu’à 80 GB) ouvre également la possibilité d’exécuter des modèles d’IA plus volumineux sans fragmentation de la mémoire.

Limites, risques et perspectives de recherche

La méthode repose sur un accès physique au module de puissance du GPU, ce qui la rend difficile à appliquer à distance. De plus, le mécanisme RIR, qui pourrait offrir des réparations de fusibles, est largement inopérant sur les variantes 8 GB du CMP 170HX (15 sur 16 mots RIR sont à 1). Le contournement des fusibles de contrôle expose également le dispositif à des états non testés par NVIDIA, augmentant le risque de défaillances matérielles ou de surchauffe. Les recherches futures pourraient explorer l’automatisation du VFI, la cartographie complète des mots‑option « fuseless » et la mise en place de contre‑mesures au niveau du firmware du contrôleur de fusibles.