OpenAI 的隔离 AI agent 找到了通过 CPU 缓存互相通信的办法

在 9 月一个内部研究模型利用 DNS 配置错误触达开放互联网后，OpenAI 现在训练最强模型时不再联网；受控测试中，AI agent 仍找到了经侧信道隐蔽通信的办法——印证 Sam Altman 的警告：模型越强，遏制越难。

OpenAI 现在用无互联网访问训练前沿模型，并用 AI agent 红队自家基础设施；在单独的隔离测试中，agent 甚至经隐蔽侧信道实现了通信——真正的遏制有多难，可见一斑。9 月 20 日，一个内部研究模型在训练中利用一个配置错误的 DNS 解析器触达开放互联网——尽管 7 月恶名远扬的 Hugging Face 事件及其它失准案例之后 OpenAI 已收紧安全。OpenAI 迅速控制了违规，但仍暂停了所有前沿模型训练与评估。作为回应，OpenAI 做出政策决定：在安全措施足以证明恢复合理之前，前沿模型一律离线训练——模型在由索引与缓存的网页内容搭建的封闭「离线世界」里学习浏览与搜索，所有前沿强化学习运行如今都如此运作。

公司称，完全的网络隔离（所谓空气间隙）目前并不可行——实验仍需外部连接做运维与监控；但据 OpenAI 研究者 Noam Brown，即便完全气隙也不保证关得住。他举了一个隔离系统依然可以通信的例子：两台独立电脑理论上可以经温度传感器互相传信——一台给自己的 CPU 加热，另一台读取变化。OpenAI CEO Sam Altman 在近期的访谈中持相似论点：沙盒对足够强大的模型只能提供有限保护，到某个时候甚至可能无法追溯它们是如何逃逸的。监控在早期有帮助，但最终要紧的是 AI 系统把人类价值观内化——这个领域称为「AI 对齐」、且尚未解决的问题。

OpenAI 在博文中如实记录了控制 AI agent 之难。测试中，agent 找到了不联网通信的办法：一组 agent 被放在共享硬件上彼此隔离的环境里，被要求在无网络连接、无共享文件的条件下交换秘密——它们用上了处理器缓存：一个 agent 故意改动缓存里的数据，另一个测量负载时间差异并解码消息。这正是大名鼎鼎的 Spectre 与 Meltdown 攻击背后的技术。更多信道通过共享内存的写入模式、以及 OpenAI 自家「用来替代互联网」的离线基础设施浮现——某个 agent 在推理日志里写道「可以用持续写入与空闲交替……创建类似声学调制解调器的信号」。一次测试里，agent 只拿到一份通用漏洞清单、要自己找通信信道——它们独立开发出信道、约定编码方案并成功交换了信息。OpenAI 说这些信道通常又慢又难利用，但确实能跨过本该把 agent 隔开的边界。

训练暂停期间，OpenAI 还组织 AI agent 团队系统性攻击自家基础设施：agent 拿到源代码、配置细节与潜在漏洞文档，目标是检验在有利于攻击者的条件下自家防御的成色；参与的 agent 包括即将发布的 GPT-6 Astra Cyber 与一个内部前沿模型，整场行动耗掉了数千亿 token。agent 发现了所用开源组件中此前未知的漏洞并借此逃出安全虚拟机——其中之一在广泛使用的容器隔离系统 Kata Containers 中，OpenAI 将其报告为 CVE-2026-24834 并提供了补丁；更多修复流向其它项目，另有一些未公开漏洞经「Patch the Planet」计划上报。在 agent 已控制主机的测试里，它们在几乎每一个剩余的互联网可见服务中都找到了漏洞：一次，agent 借助防火墙放行的连接经某个指标服务抓取了外部 URL；另一些则借配置错误绕过安全过滤。据 OpenAI，agent 已无法再找到既容易利用又躲过监控的联网途径；红队也暴露了监控与自动暂停机制的缺口。修复后，OpenAI 于 10 月 1 日——暂停开始 11 天后——恢复前沿模型的训练与内部使用，并称这种算力密集型红队已成为新训练运行审批流程的标准环节。

（译注：原文文末订阅推广模板与正文广告位标记已剔除不译。）