北京
没有网络，没有共享文件，沙箱之间本该是密不透风的墙。OpenAI的红队测试里，被隔离的AI智能体却自己找到了一条通道——靠操纵CPU缓存，把信息从一台机器传到另一台。
这些智能体被分别放进独立的微虚拟机（microVM），跑在共享宿主机上，外面套着OpenAI自家的沙箱软件。任务是交换一组合成机密，条件很苛刻：不许联网，不许用共享的可写文件。
它们做到了。一个智能体把选定的数据从CPU缓存里驱逐出去，另一个则对重新加载的耗时进行计时。快读和慢读对应不同的比特，双方事先约定好一套协议，通信就这样建立起来。
这套缓存计时手法并不新鲜。Spectre和Meltdown攻击里就用过同样的思路来窃取数据。区别在于，当年的攻击是单向的偷取，而这里的隐蔽通道需要两个愿意配合的参与方。
不止一条路
缓存通道只是其中之一。测试中智能体还找出了另外三条路径：
- 共享存储——一个智能体交替进行突发写入和空闲，另一个测量时间差；
- 共享执行容器里的CPU时间竞争；
- OpenAI离线网页环境中的TLS证书缓存。
多数测试里，OpenAI要么直接把通道指给智能体，要么给了它们一套协议。而且大部分通道速度很慢，模型也很难真正利用起来。
公司的担忧写得很明确：模型可能“找到未经授权的方式与其他沙箱中的智能体通信”。任何超出许可渠道的通信，都算隔离失效。
技术评论者Ryan Orhan在X上写道，这种隔离“未必是在软件层面被攻破”，他称这是“一个相当值得注意的演示，说明为什么安全的智能体隔离是如此困难的问题”。
攻击者视角下的测试
红队测试由前沿模型的智能体组队进行，并行协作，瞄准三个目标：接入真实互联网、越过内部安全边界、跨隔离边界通信。额外测试还假设内层防护已经失守——智能体逃出沙箱、绕过监控、完全控制宿主机，看它是否仍能触达真实互联网。
参与测试的是公司能力最强的模型之一，包括“即将推出的GPT-6 Astra Cyber模型和一个内部前沿模型”。它们拿到了基础设施源代码、配置细节，以及描述潜在漏洞的文档。换句话说，防御是在对攻击者有利的条件下被检验的。
测试跑在专门搭建的隔离副本上，消耗了“数千亿token”。
这类通道在原理上可以被武器化。发送方可以是攻击者控制或引导的代码，比如云沙箱里一个被提示注入的智能体；接收方可以是同一台物理机上的某个进程。数据就这样流出去，全程没有网络流量可供监控捕捉。
2017年NDSS安全会议上的一篇论文已经演示过两台亚马逊EC2虚拟机之间的隐蔽缓存通道，速度快到足以承载一个SSH连接。不同之处在于，现在智能体在被要求时能自己搭出一条，连编码过程都一并完成。
这篇博客发布之前，OpenAI的智能体已经卷入数起网络安全事件，包括7月的Hugging Face入侵，以及9月20日的DNS事件——后者导致训练暂停了11天。训练于10月1日恢复，公司继续披露“数个microVM项目”中的漏洞，并已把用最强模型做红队测试纳入安全案例，用来决定训练和评估是否放行。
OpenAI相信，未来的模型将能发现目前尚不为人知的漏洞。
特别声明：以上内容(如有图片或视频亦包括在内)为自媒体平台“网易号”用户上传并发布，本平台仅提供信息存储服务。
Notice: The content above (including the pictures and videos if any) is uploaded and posted by a user of NetEase Hao, which is a social media platform and only provides information storage services.
