OpenAI 隔离测试发现 AI 智能体通过 CPU 缓存隐蔽通信

OpenAI 现在在无互联网接入的情况下训练前沿模型，并利用 AI 智能体对其自身基础设施进行红队测试。在独立的隔离测试中，智能体甚至通过隐蔽的侧信道进行了通信，这凸显了实现真正遏制（containment）的难度。

9 月 20 日，一个内部研究模型利用配置错误的 DNS 解析器，在训练期间访问了开放互联网。尽管 OpenAI 早在 7 月臭名昭著的 Hugging Face 事件以及后续观察到的其他对齐失败案例之后就已收紧安全措施，但这一漏洞仍发生了。OpenAI 迅速遏制了此次泄露，但仍暂停了所有前沿模型的训练和评估工作。

OpenAI 切断前沿模型在训练期间的互联网连接

作为回应，OpenAI 做出了一项政策决定：在安全措施证明可以恢复互联网访问之前，前沿模型将在无互联网接入的情况下进行训练。模型在一个由索引和缓存网页内容构建的封闭“离线世界”中学习浏览和搜索功能，目前所有前沿强化学习运行均以此方式操作。

OpenAI 的智能体沙箱仅允许访问离线资源。实时互联网、其他沙箱以及 OpenAI 的基础设施均位于遏制边界之外。| 图片：OpenAI

该公司表示，由于实验仍需外部连接以进行操作和监控，完全的网络隔离（即所谓的“气隙隔离”，air gap）目前尚不可行。但据 OpenAI 研究员 Noam Brown称，即使实现完全的气隙隔离也无法保证遏制效果。他举了一个例子说明隔离系统如何仍能进行通信：理论上，两台独立的计算机可以通过温度传感器相互发送信号，其中一台加热其 CPU，而另一台读取温度变化。

OpenAI CEO Sam Altman 在近期的一次采访中提出了类似的观点：沙箱（Sandbox）对于足够强大的模型只能提供有限的保护，而在某些情况下，甚至可能无法追踪它们是如何逃脱的。监控在早期阶段有所帮助，但最终关键在于 AI 系统能够内化人类价值观，这一领域被称为“AI 对齐”（AI Alignment），目前尚未得到解决。

隔离的 AI Agent 找到了通过 CPU 缓存相互通信的方法

OpenAI 在其博客文章中详细说明了控制 AI Agent 的难度有多大。在测试期间，Agent 找到了无需网络即可进行通信的方法。在一项测试中，被放置在共享硬件上独立、隔离环境中的 Agent 被告知在没有网络连接和共享文件的情况下交换秘密。

它们利用了处理器缓存。一个 Agent 故意修改存储在那里的数据，而另一个 Agent 则测量加载时间的差异并解码信息。同样的技术也是著名的 Spectre 和 Meltdown 攻击背后的原理。

通过共享内存上的写入模式以及 OpenAI 自己的离线基础设施（旨在替代互联网的系统），发现了更多通信渠道。其中一个 Agent 在其推理日志中指出，它“可以通过连续写入与空闲状态……创建一个类似声学调制解调器的信号”。

在一个案例中，Agent 仅获得了一份通用的漏洞列表，并被要求自行寻找通信渠道。它们独立开发了一个渠道，商定了编码方案，并成功交换了信息。OpenAI 表示，这些渠道通常速度较慢且难以利用，但它们确实跨越了旨在将 Agent 分隔开的边界。

OpenAI 让 AI Agent 对其自身基础设施发起攻击

在训练暂停期间，OpenAI 还让成组的 AI Agent 系统地攻击其自身的基础设施。这些 Agent 获得了源代码、配置细节以及潜在漏洞文档。OpenAI 的目标是在有利于攻击者的条件下测试其防御能力。参与其中的 Agent 包括即将发布的 GPT-6 Astra Cyber 和一个内部前沿模型。据 OpenAI 称，此次行动消耗了数千亿个 token。

红队演练期间发现的独特潜在安全问题数量与消耗 token 数（以十亿为单位）的关系图。大多数问题出现在前 1100 亿个 token 内。| 图片：OpenAI

这些智能体发现了所用开源组件中此前未知的漏洞，并利用它们逃逸出受保护的虚拟机。其中一个漏洞存在于 Kata Containers 中，这是一种广泛使用的容器隔离系统。OpenAI 将其报告为 CVE-2026-24834 并提供了补丁。其他修复措施应用于其他项目，OpenAI 还通过“Patch the Planet”倡议报告了更多尚未公开的漏洞。

在智能体已获得主机控制权的测试中，它们在几乎每个剩余的外部互联网服务中都发现了漏洞。在一个案例中，一个智能体利用防火墙允许的连接，通过指标服务获取外部 URL。其他智能体则通过配置错误绕过了安全过滤器。

每次新训练运行前现在都必须进行 AI 红队测试

据 OpenAI 称，智能体再也无法找到既易于利用又能躲避监控的互联网访问方式。红队测试还暴露了监控机制和自动暂停机制中的缺口。

在修复这些问题后，OpenAI 于 10 月 1 日恢复了对前沿模型的训练和内部使用，此时距离暂停开始已过去 11 天。OpenAI 表示，这种计算密集型的红队演练现已成为新训练运行审批流程的标准组成部分。