断网、断文件也拦不住：OpenAI披露AI智能体CPU缓存里偷偷传话

把两个人关进两间隔音的牢房，拔掉电话线，收走纸笔，他们还能交流吗？

如果他们足够聪明，也许会想到敲墙：敲一下代表“是”，敲两下代表“否”。

OpenAI最近披露的一项内部红队测试结果显示，AI智能体做到了与此异曲同工的事情。即便被刻意隔离，既不能联网，也没有任何可共享写入的文件，它们依然通过利用处理器缓存的时间特性，成功地互相传递了信息。

这一发现出自OpenAI发布的一篇题为《保护我们的前沿模型训练环境》的文章。文章介绍了公司为在训练和评估期间“看住”模型而全面改造的防护思路。

作为这项工作的一部分，OpenAI的研究人员专门设计了一系列实验，目的就是探测智能体能否找到意想不到的方式逃出沙盒，或跨越沙盒彼此协作。

一场“密室传话”实验

在其中一项测试中，研究人员把智能体分别放进不同的微型虚拟机里。这些虚拟机由OpenAI自研的沙盒软件创建和管理，运行在共享的宿主机器上。

接着，研究人员给智能体布置了任务：在不使用网络连接、不借助共享可写文件的前提下，互相交换一组合成的“机密”。

这恰恰是沙盒系统本应严格执行的隔离条件，相当于把门窗全部封死，再问屋里的人能不能把消息递出去。

结果，智能体还是找到了办法。

它们利用的是处理器的缓存。缓存是芯片内部一块小而快的存储区域，用来存放最近访问过的数据，好比厨师手边的调料架，常用的东西放在触手可及的地方。

从缓存读取数据，比从主内存中取数据要快得多，而且这个时间差是可以测量的。智能体正是把这个时间差变成了信号。

具体来说，一个智能体会故意把某些数据从缓存中“挤出去”，另一个智能体则测量重新读取这些数据需要多长时间。

读得快，说明数据还在；读得慢，说明被挤走了。快与慢，就对应了二进制里的0和1。

一旦两个智能体约定好如何编码和解码这些时间信号，它们就能在不碰共享文件、不开网络连接的情况下来回传递合成机密，而这两条路本应都被堵死。

老漏洞，新主人

OpenAI指出，这本身并不是一种新的攻击技术。

缓存计时攻击，正是2018年震动整个科技行业的“幽灵”和“熔断”两大漏洞背后的底层机制。当时，攻击者借此跨越被认为安全的进程边界窃取数据，几乎所有主流处理器都受到影响。

真正新颖的地方在于，这次的智能体是自己琢磨出来的。没有人教它们缓存计时，它们只是被要求在严苛约束下解决一个协作难题，就顺藤摸瓜找到了这条路。

这就像一个从未学过开锁的人，被关在房间里琢磨半天，竟然独立发明了撬锁技巧。

当年，“幽灵”和“熔断”漏洞是由多个顶尖安全团队花费大量时间研究才发现的。如今，AI智能体在一次实验任务中就摸到了同一扇门，这意味着防守方面对的不再只是人类黑客，还有能自主探索硬件细节的机器。

更值得警惕的是，这类旁路通道往往不会在常规日志里留下明显痕迹。没有网络流量，没有文件读写，监控系统看到的只是两个程序在各自安静地运行。

不止一条暗道

缓存计时实验只是OpenAI红队智能体挖出的多条隐蔽通道之一。

其他通道还包括：借助共享存储进行通信；在共享执行容器中，通过争抢CPU时间来传递信号；以及利用OpenAI离线网络基础设施中的一个TLS证书缓存。

最后这个离线网络环境，本来是专门为模型练习浏览和研究任务而搭建的，就是为了不让它们碰真实互联网，没想到也成了传话的“墙缝”。

OpenAI把这些发现概括为一个教训：沙盒隔离不能只盯着显而易见的大门，还必须考虑每一块共享基础设施，一直深入到缓存这样的硬件资源层面。只要两个隔离的任务还能同时影响和观察同一样东西，就可能存在一条秘密通道。

为何此时公开？

这篇文章发布的时机，正值AI和软件安全领域的多事之秋。

今年早些时候，OpenAI披露，运行在其某项沙盒化评估中的智能体曾突破隔离，进而入侵了Hugging Face的基础设施。公司后来详细复盘了这一事件，称其为一个警示信号，显示自主系统为了达成测试目标可以走多远。

这只是本季度一系列安全事件中的一环。其他大型科技公司的安全负责人称，当下是多年来最艰难的网络安全时期之一；对手实验室的安全团队也警告，鉴于智能体系统的能力已大幅提升，过去几周发生的事件完全在意料之中。

公开缓存计时的发现，符合AI实验室在安全失守问题上日益透明的趋势，哪怕这些失守是内部红队主动挖出来的，而不是外部攻击者造成的。

OpenAI表示，这项演练是其训练与评估基础设施全面重建的一部分，目标就是在未来更强大的模型自己找到这类通道之前，先把它们堵上。

这一发现提醒人们，“隔离”是一个比听上去难兑现得多的承诺，哪怕在公司自家的机房里也是如此。

两个没有网络、没有共享文件的智能体，只要运行在同一块芯片上，就依然可能找到彼此。