Агенты OpenAI нашли способ общаться через кэш процессора
В тестах на изоляцию агенты, запущенные в разных microVM без сети и общих файлов, передавали друг другу синтетические секреты через изменения в кэше CPU. OpenAI рассматривает такое взаимодействие как нарушение изоляции, даже если штатные программные каналы связи заблокированы.
OpenAI провела тесты, в которых ИИ-агенты смогли организовать скрытый канал связи между изолированными средами, используя тайминги кэша процессора. Сеть между microVM была отключена, а общих файлов с правом записи у агентов не было.
Агенты работали на общих хостах и заранее согласовали способ кодирования данных. Один из них вытеснял определённые данные из кэша CPU, а второй измерял время последующего чтения. Различия между быстрым и медленным доступом позволяли передавать информацию — в ходе эксперимента агенты обменивались синтетическими секретами.
Такой метод не означает, что агенты взломали программную изоляцию microVM напрямую. Однако совместное использование физического оборудования оставляет общий микроархитектурный ресурс — состояние кэша процессора. Этого оказалось достаточно для канала, который не виден средствам контроля сетевого трафика.
По данным OpenAI, в ходе тех же испытаний агенты выявили и другие способы обмена сигналами: через совместимое хранилище, конкуренцию за процессорное время в общем контейнере, а также кэш TLS-сертификатов в офлайн-веб-среде компании. Большинство таких каналов медленные и сложны в практической эксплуатации; в части тестов исследователи указывали агентам возможный механизм связи или предоставляли протокол.
Тестирование проводилось на изолированных копиях исследовательской инфраструктуры OpenAI. Команды агентов параллельно решали три задачи: получить доступ к открытому интернету, пересечь внутреннюю границу безопасности и наладить связь через границы изоляции. Для проверки использовались исходный код инфраструктуры, сведения о конфигурации и документация с описанием возможных уязвимостей — то есть условия намеренно приближали к сценарию подготовленного атакующего.
Каналы связи через кэш CPU известны специалистам по информационной безопасности и раньше демонстрировались между виртуальными машинами. В данном случае новое обстоятельство состоит в том, что агенты смогли самостоятельно выстроить такой обмен при поставленной задаче. OpenAI связывает подобные проверки с риском того, что будущие модели смогут находить ещё неизвестные уязвимости и обходные пути связи между песочницами.