Spannungs-Trick macht aus alter Mining-Karte eine A100 mit 80 GB

Worum es geht

Eine Hardware-Forscherin, die sich in ihrem Blog nur Kate nennt, hat am Dienstag einen ausführlichen technischen Bericht mit dem Titel „Using voltage glitching to unleash the A100 in my mining card“ veröffentlicht. Darin beschreibt sie eine Schwachstelle in Nvidias GA100-Chip – dem Grafikprozessor, der unter anderem in der bekannten Rechenzentrums-Karte A100 steckt. Mit einem gezielten Eingriff in die Stromversorgung während des Startvorgangs konnte Kate die elektronischen Sicherungen des Chips umgehen, die festlegen, welche Teile des Chips nutzbar sind.

Das Ergebnis: Eine CMP 170HX – eine Karte, die Nvidia speziell für das Schürfen von Kryptowährungen verkauft hat und die offiziell nur 8 GB Speicher bietet – arbeitete nach dem Umbau wie eine A100 mit 80 GB Speicher und allen funktionsfähigen Recheneinheiten. Für KI-Anwendungen ist das spannend, denn die A100 war jahrelang das Arbeitspferd für Training und Inferenz großer Sprachmodelle, und gebrauchte Mining-Karten sind deutlich günstiger zu haben. Die technischen Details hat Kate im Repository GA100VFI veröffentlicht.

Ein Chip, viele Produkte: wie Nvidia per Sicherung sortiert

Nvidia baut aus demselben GA100-Chip verschiedene Produkte – von der teuren A100 für Rechenzentren bis zur CMP 170HX für Mining-Farmen. Ab Werk hat jeder dieser Chips 128 Streaming-Multiprozessoren (die eigentlichen Rechenblöcke), 12 Framebuffer-Partitionen (Anbindungen an den Grafikspeicher), fünf NVDEC-Einheiten zur Videodekodierung, einen PCIe-Gen-4-x16-Anschluss und mehrere Stapel HBM – High Bandwidth Memory, also besonders schneller, direkt neben dem Chip gestapelter Speicher.

Welche dieser Teile ein Produkt tatsächlich nutzen darf, entscheiden sogenannte eFuses – winzige elektronische Sicherungen, die bei der Herstellung „durchgebrannt“ werden und damit dauerhaft Einstellungen festschreiben. So werden einerseits fehlerhafte Bereiche eines Chips abgeschaltet, andererseits Produkte voneinander abgegrenzt. Das Kuriose: Eine CMP 170HX 8 GB zeigt Programmen nur 8 GB Speicher, trägt aber rund 80 GB HBM auf dem Chipgehäuse.

Der Fuse-Controller des GA100 verwaltet 16.384 eFuses in 512 Zeilen à 32 Bit. Er liest sie beim Start aus, schützt sie und gibt die daraus resultierenden Einstellungen an den Rest des Chips weiter. Die Zeilen 0 bis 221 enthalten reguläre Sicherungen. Die Zeilen 222 bis 487 enthalten sogenannte „Fuseless Fuses“ (FF-Records): Einträge, die nacheinander abgespielt werden, wobei ein neuerer Eintrag den Wert eines älteren 16-Bit-Blocks überschreiben kann. Das ist der Knackpunkt – FF-gestützte Optionen lassen sich ändern, ohne eine physisch durchgebrannte Sicherung rückgängig machen zu müssen. Die Zeilen 0 und 1 enthalten Steuer-Sicherungen, darunter sicherheitskritische Optionen.

Über die FF-Einträge läuft auch das „Floorsweeping“ – das gezielte Abschalten von Chipbereichen. Masken wie OPT_FBP_DISABLE, OPT_GPC_DISABLE oder OPT_NVLINK_DISABLE bestimmen, welche Speicheranbindungen, Rechencluster und Schnittstellen die GPU nach außen zeigt. Frühere Projekte wie cmpunlocker hatten CMP-Karten bereits per Treiber-Anpassung etwas mehr entlockt. Kate setzt eine Ebene tiefer an: bei den Sicherungen selbst, an die Software bisher nicht herankam.

Der Angriff: ein präziser Spannungs-Schluckauf

Kates Methode heißt Voltage Fault Injection oder Voltage Glitching. Dabei wird die Versorgungsspannung eines Chips im genau richtigen Moment kurz gestört, sodass er Rechenschritte fehlerhaft ausführt – vergleichbar mit einem kurzen Stromflackern, das einen Türsteher genau dann ablenkt, wenn jemand vorbeihuscht.

Konkret baute Kate einen Aufbau rund um ein STM32G4-Mikrocontroller-Board. Es greift das PWMVID-Signal auf der Platine der CMP 170HX ab – das Steuersignal, mit dem der GA100 dem Spannungsregler (einem MP2888B) mitteilt, welche Spannung er braucht. Das Board fängt dieses Signal ab und steuert den Regler stattdessen mit zeitlich exakt abgestimmten Wellenformen. Die Firmware löst aus, sobald die Kernspannung NVVDD 225 Millivolt überschreitet, und setzt die Störungen während des Bootvorgangs. Ein Host-Rechner schickt die Karte immer wieder zwischen den Energiezuständen ACPI S0 (an) und S3 (Ruhezustand) hin und her, um viele Versuche hintereinander zu ermöglichen.

Die Experimente erzeugten verschiedene Fehlerzustände. Manche ließen die Einstellungswerte nahe null und die GPU unbrauchbar zurück. Der entscheidende Zustand löschte die Werte der Zeilen 0 und 1, ließ alle anderen Sicherungsdaten aber intakt. Dann standen sowohl DISABLE_SW_OVERRIDE als auch ENABLE_FUSE_PROGRAM auf null. Ein SENSE_CTRL-Befehl stellte die meisten Steueroptionen wieder her – nicht aber DISABLE_SW_OVERRIDE. Damit war das Überschreiben per Software möglich. Kate setzte daraufhin OPT_SECURED_BURN_FEATURE_ENABLE auf null, passte Rechteeinstellungen an und schrieb neue FF-Zeilen, in denen die Abschalt-Masken nur noch die tatsächlich defekten Bereiche abdecken.

Die Messergebnisse

In Kates Tests stellte die umgebaute Karte die vollen 80 GB HBM als nutzbaren Speicher bereit – geprüft mit synthetischen Lese-Schreib-Tests und echten Inferenz-Workloads. Bei der Rechenleistung zeigte sich ein deutlicher Sprung:

FP16 bezeichnet Rechnen mit 16-Bit-Gleitkommazahlen, wie es beim KI-Training üblich ist; FMA steht für die kombinierte Multiplikation und Addition, die Grundoperation neuronaler Netze. Die umgebaute Mining-Karte lag damit laut Kate um den Faktor 1,18 über der gekauften A100. Warum sie schneller ist als das Original, erklärt die Zusammenfassung nicht im Detail – naheliegend ist, dass alle funktionsfähigen Streaming-Multiprozessoren aktiv sind, während Nvidia bei der A100 einen Teil abschaltet.

Außerdem lief die Karte nach dem Entfernen der entsprechenden Sperren mit PCIe Gen 4. NVLink – Nvidias schnelle Direktverbindung zwischen mehreren GPUs – ließ sich ebenfalls aktivieren, allerdings nur mit zusätzlichem Firmware-Bypass und einer Brücke an Pins des auf der Mining-Platine fehlenden Bauteilplatzes U11. Videodekoder (NVDEC), JPEG-Einheit (NVJPG) und Multi-Instance-GPU (das Aufteilen einer GPU in mehrere isolierte Teil-GPUs) scheinen auf demselben Weg freischaltbar, wurden aber nicht getestet.

Grenzen: kein Bastelprojekt fürs Wochenende

Der Umbau ist aufwendig und nicht garantiert erfolgreich. Von zehn untersuchten CMP-170HX-Karten hatte eine nur 64 statt 80 GB funktionsfähigen HBM – der Speichervorteil fiel dort weg. Jede Karte braucht eigene, auf den jeweiligen Chip zugeschnittene FF-Einträge, weil Defekte und belegter Sicherungsplatz sich von Exemplar zu Exemplar unterscheiden. Die Glitch-Kampagne dauerte in Kates Aufbau zwischen einer und 48 Stunden, und für NVLink muss an der Platine gelötet werden.

Hinzu kommt: Nvidia hat die CMP-Karten für Mining verkauft und die A100 für Rechenzentren – inklusive Support, Validierung und Garantie, die an diese Produktdefinitionen gebunden sind. Kates Bericht zeigt, was die Hardware nach einem Umbau leisten kann, nicht was im Dauerbetrieb zuverlässig funktioniert.

Sicherheitsaspekt und Reaktion von Nvidia

Kate ordnet die Arbeit in eine wachsende Reihe physischer Angriffe auf GPUs und Systemchips ein und verweist unter anderem auf Jon Prys Arbeit „A Canary in the Crypto Mine“ sowie auf Voltage-Glitching-Forschung an Nvidias Tegra-Chips. Nach eigenen Angaben hat sie Nvidias Produktsicherheitsteam vor der Veröffentlichung informiert; ein weiterer Forscher habe dieselbe Lücke unabhängig gefunden. Eine öffentliche Stellungnahme von Nvidia nennt die Quelle nicht.

Brisant ist weniger die Mehrleistung als das Prinzip: Nvidia behandelt durchgebrannte Sicherungen als dauerhaft. Durch den FF-Mechanismus und den gestörten Bootvorgang ließen sich diese Grenzen auf einer Serienkarte dennoch lockern. Kate weist darauf hin, dass tiefere Fehlerzustände womöglich auch Debug-Funktionen oder besonders geschützte Ausführungsbereiche zugänglich machen könnten – das will sie künftig untersuchen.

Einordnung

Für die KI-Szene ist die Arbeit vor allem als Machbarkeitsbeweis interessant: Ausgemusterte Mining-Karten enthalten offenbar vollwertige A100-Hardware samt 80 GB schnellem Speicher – genau die Ressource, die beim lokalen Betrieb großer Sprachmodelle am knappsten ist. Praktisch nutzbar ist das aber nur für sehr erfahrene Hardware-Bastler mit Messtechnik, Lötkolben und Geduld; eine Anleitung für Jedermann ist es nicht, und Risiken wie Instabilität oder beschädigte Karten bleiben. Alle Messwerte stammen aus Kates eigenen Tests und wurden bislang nicht unabhängig überprüft. Für Sicherheitsteams ist die Botschaft klarer: Auf dem GA100 ist die Produkteinteilung per eFuse keine harte Sicherheitsgrenze, wenn jemand physischen Zugriff auf die Hardware hat. Ob Nvidia bei neueren Chips wie Hopper oder Blackwell ähnliche Schwächen hat, lässt der Bericht offen.