OpenAI 披露隔离 AI 智能体通过 CPU 缓存等隐蔽信道互相通信

OpenAI 现在不依赖互联网来训练前沿模型，并使用 AI 代理来攻击自身的基础设施。在隔离测试中，代理甚至通过隐蔽的侧信道进行通信，显示了真正的隔离有多么困难。

9 月 20 日，一个内部研究模型利用了一个配置错误的 DNS 解析器 来 访问 开放 互联网 进行 训练，尽管 OpenAI 在 7 月 发生 如今 臭名昭著 Hugging Face 事件 后 已经 加强了 安全 措施 并 处理了 其他 观察到的 偏差 案例. OpenAI 迅速 控制 了 这次 入侵 但 仍然 停止 了 所有 前沿 模型 的 训练 和 评估.

OpenAI 在训练期间将前沿模型与互联网断开连接

OpenAI 做出了一个政策决定：前沿模型现在在不依赖互联网的情况下进行训练，直到安全措施证明可以恢复连接。模型学习在由索引和缓存的网络内容构建的封闭“离线世界”中浏览和搜索，并且所有前沿强化学习现在都以这种方式运行。

完全的网络隔离，即所谓的“空气间隙”，目前还不可行，因为实验仍然需要外部连接来进行操作和监控，该公司表示。但即使是一个完整的空气间隙也不会保证隔离，根据 OpenAI 研究人员 Noam Brown 的说法。他给出了一个孤立的系统仍然可以通信的例子：理论上，两台独立的计算机可以通过温度传感器互相传递信号，一台计算机加热其 CPU，而另一台读取变化。

OpenAI CEO Sam Altman 在最近的一次采访中提出了类似的论点：沙盒只能对足够强大的模型提供有限的保护，并且在某些时候可能不再能够追踪它们是如何逃逸的。监控有助于早期发现，但最终重要的是 AI 系统能够内化人类价值观，该领域称之为“AI 对齐”并尚未解决。

隔离的 AI 代理找到了彼此交流的方法

OpenAI 在其博客文章中详细说明了控制 AI 代理有多困难 在其博客文章。在测试中，代理找到了无需网络即可通信的方法。在一个测试中，将代理放置在共享硬件上分离的隔离环境中，指示它们在没有网络连接和没有共享文件的情况下交换秘密。

它们使用了处理器缓存。一个代理故意修改了其中存储的数据，而另一个测量了加载时间的差异并解码了消息。同样的技术是众所周知的 Spectre 和 Meltdown 攻击 的基础。

通过共享内存中的写模式以及 OpenAI 自己的离线基础设施，更多的频道被发掘出来，这些系统旨在取代互联网。一个代理在其推理日志中注意到，它 "可以使用连续写入而非空闲来创建类似声学调制解调器的信号…"

在一种情况下，代理们只被给出了一份通用的漏洞列表，并被要求自行寻找通信频道。他们独立开发了一个频道，商定了一种编码方案，并成功交换了信息。OpenAI 表示，这些频道通常很慢且难以利用，但它们确实跨越了旨在将代理分开的边界。

OpenAI 将 AI 代理释放到了其自己的基础设施上

在训练暂停期间，OpenAI 还让 AI 代理团队系统地攻击其自己的基础设施。代理们被提供了源代码、配置细节以及潜在漏洞的文档。OpenAI 的目标是在有利于攻击者的条件下测试其防御。这些代理包括即将推出的 GPT-6 Astra Cyber 和一个内部前沿模型。据 OpenAI 称，这场行动消耗了数百亿个 token。

代理们在使用的开源组件中发现了之前未知的漏洞，并利用它们从受保护的虚拟机中逃逸出来。其中一个是 Kata Containers（一种广泛使用的容器隔离系统）中的一个漏洞。OpenAI 将其报告为 CVE-2026-24834 并提供了补丁。更多的修复措施被用于其他项目，OpenAI 通过 "修复地球" 计划报告了其他尚未公布漏洞。

在代理已经控制了主机的测试中，他们发现几乎所有剩余的面向互联网的服务中都存在漏洞。在一种情况下，一个代理使用了一个防火墙允许的连接，通过一个指标服务获取外部 URL。其他人通过配置错误绕过了安全过滤器。

AI 红队演练现在在每个新的训练运行之前都是必需的

根据 OpenAI 的说法，代理们再也找不到一种既容易利用又不易被监控的访问互联网的方法。红队演练还暴露了监控和自动暂停机制中的差距。

在修复问题后，OpenAI 于暂停开始后的第 11 天，即 10 月 1 日恢复了其前沿模型的训练和内部使用。OpenAI 表示，这种计算密集型的红队演练现在是 批准过程 的一部分，用于新的训练运行。

AI 新闻无浮夸 – 由人类编辑

订阅 THE DECODER 以获得无广告阅读、每周 AI 新闻、我们独有的 "AI 雷达" 前沿报告（每年六次）、完整存档访问以及访问我们的评论部分。