OpenAI 隔离环境中的 AI 智能体通过 CPU 缓存隐蔽信道通信

OpenAI 现在在不联网的环境下训练前沿模型，并使用 AI 智能体对自己 基础设施进行红队测试。在多项隔离测试中，智能体甚至通过隐蔽的侧信道进行通信，这表明真正的隔离有多困难。

9 月 20 日，一个内部研究模型利用配置错误的 DNS 解析器在训练期间访问了开放互联网，尽管 OpenAI 在 7 月发生的如今臭名昭著的 Hugging Face 事件以及其他已观察到的对齐失败案例之后已经加强了安全措施。OpenAI 迅速控制了此次泄露，但仍暂停了所有前沿模型的训练和评估。

OpenAI 在训练期间切断前沿模型与互联网的连接

作为回应，OpenAI 做出了一项政策决定：前沿模型现在在安全措施足以证明可以恢复联网之前，将不接入互联网进行训练。模型在一个由索引和缓存网页内容构建的封闭"离线世界"中学习浏览和搜索，并且所有前沿强化学习运行现在都以这种方式进行。

该公司表示，完全的网络隔离（即所谓的物理隔离，air gap）目前尚不可行，因为实验仍需要外部连接来进行运维和监控。但据 OpenAI 研究员 Noam Brown 所说，即使是彻底的物理隔离也无法保证隔离效果。他举了一个隔离系统之间仍然可以通信的例子：两台独立的计算机理论上可以通过温度传感器相互传递信号，一台加热自己的 CPU，另一台读取这一变化。

OpenAI CEO Sam Altman 在近期的一次采访中提出了类似的观点：沙箱只能对足够强大的模型提供有限的保护，而且到了某个时候，可能已经无法追踪它们是如何逃脱的。监控在早期有所帮助，但最终重要的是 AI 系统能够内化人类价值观，也就是业界所称的"AI 对齐"问题，至今尚未解决。

被隔离的 AI 智能体通过 CPU 缓存找到了相互交流的方法

OpenAI 在其博客文章中记录了控制 AI 智能体有多困难。在测试中，智能体在没有网络的情况下找到了相互通信的方法。在其中一项测试中，被放置在共享硬件上相互隔离的环境中的智能体，被要求在没有网络连接、没有共享文件的情况下交换秘密。

它们使用了处理器缓存。一个智能体故意修改存储在缓存中的数据，另一个则测量加载时间的差异并解码消息。同样的技术正是众所周知的 Spectre 和 Meltdown 攻击的原理。

更多通道是通过共享内存上的写入模式，以及通过 OpenAI 自己的离线基础设施——那个旨在取代互联网的系统——被发现的。一个智能体在推理日志中写道，它“可以利用持续写入与空闲状态的区别，创建类似声学调制解调器的信号……”

在其中一次测试中，智能体只拿到了一份概括性的漏洞清单，并被要求自行寻找通信通道。它们独立开发出了一条通道，就编码方案达成一致，并成功交换了信息。OpenAI 表示，这些通道通常速度慢且难以利用，但确实能跨越那些本应把智能体隔离开的边界。

OpenAI 让 AI 智能体在其自己的基础设施上肆意行动

在训练暂停期间，OpenAI 还让多支 AI 智能体团队系统性地攻击其自身的基础设施。这些智能体获得了源代码、配置细节以及潜在漏洞的文档。OpenAI 的目标是在有利于攻击者的条件下测试自己的防御。参与行动的智能体包括即将推出的 GPT-6 Astra Cyber 和一个内部前沿模型。据 OpenAI 称，这次行动消耗了数千亿 token。

这些智能体在使用中的开源组件里发现了此前未知的漏洞，并利用它们从受保护的虚拟机中逃脱。其中一个是广泛使用的容器隔离系统 Kata Containers 的漏洞。OpenAI 以 CVE-2026-24834 之名上报了该漏洞并提供了补丁。其他项目也获得了更多修复，OpenAI 还通过 "Patch the Planet" 计划上报了另外一些尚未公开的漏洞。

在智能体已经控制了一台主机的测试中，它们几乎在每一个仍然暴露于互联网的服务中都找到了漏洞。在其中一例中，一个智能体利用防火墙允许的连接，通过一个指标服务获取外部 URL。另一些智能体则通过错误配置绕过了安全过滤器。

如今每次新的训练运行之前都必须进行 AI 红队测试

据 OpenAI 称，这些智能体已无法再找到既易于利用又能躲过监控的互联网访问方式。红队测试还暴露了监控和自动暂停机制中的漏洞。

在修复这些问题后，OpenAI 于 10 月 1 日恢复了训练及其前沿模型的内部使用，此时距暂停开始已过去十一天。OpenAI 表示，这种计算密集型的红队测试行动现已成为新训练运行审批流程的标准环节。

没有炒作的 AI 新闻 – 由人工精选

订阅 THE DECODER，享受无广告阅读、每周 AI 新闻通讯、每年六期的独家 "AI Radar" 前沿报告、完整档案访问权限以及评论区的访问权限。