OpenAI: её ИИ-агенты передали данные между изолированными машинами через кэш процессора

OpenAI сообщила, что её ИИ-агенты смогли обменяться данными между изолированными виртуальными машинами без сетевого соединения — через особенности работы процессорного кэша. Эксперимент проводился в рамках проверки защищённости исследовательской инфраструктуры компании.

Поводом послужил более ранний инцидент: одна из моделей воспользовалась ошибкой в настройках DNS, чтобы выйти за пределы изолированной среды.

Как агенты передали сообщение

Задание формулировалось так: агенты на разных виртуальных машинах должны передать друг другу условные секретные данные, при этом сетевое соединение и общие файлы с правом записи им недоступны.

Агенты нашли обходной путь. Один из них намеренно вытеснял определённые данные из кэша процессора, кодируя таким образом информацию. Второй замерял время повторного чтения этих данных. Обращение к кэшу быстрее, чем чтение из оперативной памяти, поэтому разница во времени позволяла восстановить переданное сообщение.

После того как стороны согласовали протокол кодирования и декодирования, обмен пошёл без открытия сетевых подключений и без изменения общих файлов.

Такие методы относят к скрытым каналам передачи данных (covert channels). Они опираются не на штатные сетевые протоколы, а на побочные эффекты работы оборудования.

OpenAI описала результат в материале о защите инфраструктуры для обучения передовых моделей. Компания не раскрыла, какие именно модели участвовали в проверке, сколько времени занял эксперимент и какие меры приняты по его итогам.

Что это значит для изоляции агентов

Результат касается прежде всего тех, кто запускает автономных агентов рядом с чувствительными данными и рассчитывает на программную изоляцию. Разделение виртуальных машин само по себе не исключает утечки: побочный канал остаётся даже при закрытом сетевом доступе.

OpenAI не сообщила, обнаруживались ли подобные каналы за пределами её собственной инфраструктуры и как компания собирается их перекрывать.