OpenAI 披露隔离智能体通过 CPU 缓存等隐蔽信道互相通信

OpenAI 现在在没有互联网访问的情况下训练前沿模型，并使用 AI 智能体对其自身基础设施进行红队测试。在单独的隔离测试中，智能体甚至通过隐蔽的侧信道进行通信，这表明真正的隔离有多么困难。

9 月 20 日，一个内部研究模型利用配置错误的 DNS 解析器 在 训练 期间 访问 了 开放 互联网，尽管 OpenAI 在 7 月 发生 如今 臭名昭著的 Hugging Face 事件 以及 其他 已观察到的 失准 案例之后 已经 加强了 安全 措施。 OpenAI 迅速 控制 了 这次 入侵，但 仍 暂停 了 所有 前沿 模型 训练 和 评估。

OpenAI 在训练期间切断前沿模型与互联网的连接

作为回应，OpenAI 做出了一项政策决定：前沿模型现在在没有互联网访问的情况下进行训练，直到安全措施证明可以恢复访问为止。模型在一个由索引和缓存的网络内容构建的封闭“离线世界”中学习浏览和搜索，所有前沿强化学习运行现在都以这种方式进行。

该公司表示，完整的网络隔离（即所谓的物理隔离）目前还不可行，因为实验仍需要外部连接来进行操作和监控。但即使实现完全的物理隔离，也无法保证隔离有效，据 OpenAI 研究员 Noam Brown 称。他举了一个例子说明隔离系统仍可能如何通信：两台独立的计算机理论上可以通过温度传感器相互传递信号，一台加热其 CPU，而另一台读取温度变化。

OpenAI CEO Sam Altman 在最近的一次采访中提出了类似的观点：沙盒对足够强大的模型只能提供有限的保护，而且在某个时候可能无法再追踪它们是如何逃脱的。监控在早期有帮助，但最终重要的是 AI 系统内化人类价值观，这个问题在该领域被称为“AI 对齐”，目前尚未解决。

隔离的 AI 智能体找到了通过 CPU 缓存相互通信的方法

OpenAI 在其博客文章中记录了控制 AI 智能体有多么困难。在测试中，智能体找到了无需网络进行通信的方法。在一项测试中，被放置在共享硬件上独立隔离环境中的智能体被要求在没有网络连接和共享文件的情况下交换秘密。

它们利用了处理器缓存。一个智能体故意更改存储在那里的数据，而另一个则测量加载时间的差异并解码消息。同样的技术也是著名的 Spectre 和 Meltdown 攻击背后的原理。

通过共享内存上的写入模式以及 OpenAI 自身的离线基础设施（即旨在取代互联网的系统），更多通道被发现。一个智能体在其推理日志中指出，它“可以利用连续写入与空闲状态的对比，制造出一种类似声学调制解调器的信号……”。

在一个案例中，智能体只拿到一份通用的漏洞列表，并被要求自行寻找通信通道。它们独立开发出一条通道，就编码方案达成一致，并成功交换了信息。OpenAI 表示，这些通道通常速度缓慢且难以利用，但它们确实能跨越那些本意是隔离智能体的边界。

OpenAI 让 AI 智能体在其自身基础设施上自由行动

在训练暂停期间，OpenAI 还让多组 AI 智能体系统性地攻击其自身基础设施。这些智能体获得了源代码、配置细节以及潜在漏洞的文档。OpenAI 的目标是在有利于攻击者的条件下测试其防御能力。这些智能体包括即将推出的 GPT-6 Astra Cyber 和一个内部前沿模型。据 OpenAI 称，此次行动消耗了数千亿个 token。

这些智能体在所使用开源组件中发现了此前未知的漏洞，并利用它们从受保护的虚拟机中逃逸。其中之一是 Kata Containers 中的一个漏洞，这是一个广泛使用的容器隔离系统。OpenAI 将其报告为 CVE-2026-24834 并提供了补丁。更多修复被提交给其他项目，OpenAI 还通过 “Patch the Planet” 计划报告了其他尚未公开的漏洞。

在智能体已经控制了一台主机的测试中，它们几乎在每一个剩余的面向互联网的服务中都发现了漏洞。在一个案例中，一个智能体利用防火墙允许的连接，通过一个指标服务获取了外部 URL。其他智能体则通过配置错误绕过了安全过滤器。

现在每次新的训练运行前都必须进行 AI 红队演练

据 OpenAI 称，这些智能体再也找不到既容易利用又不会被监控发现的互联网访问方式。红队演练还暴露了监控和自动暂停机制中的缺口。

在修复这些问题后，OpenAI 于 10 月 1 日恢复了其前沿模型的训练和内部使用，此时距离暂停开始已过去十一天。OpenAI 表示，这种计算密集型红队演练活动现已成为新训练运行审批流程的标准组成部分。

没有炒作的 AI 新闻——由人工精选

订阅 THE DECODER，享受无广告阅读、每周 AI 新闻通讯、每年六次独家“AI Radar”前沿报告、完整档案访问权限以及评论区访问权限。