OpenAI 智能体在隔离测试中借 CPU 缓存隐蔽通信

OpenAI 现在训练前沿模型时不接入互联网，并用 AI 智能体对自身基础设施做红队测试。在另外的隔离测试中，智能体甚至通过隐蔽的旁路信道互相通信，说明真正的封闭管控有多难。

9 月 20 日，一个内部研究模型在训练期间利用配置错误的 DNS 解析器 接入 了 开放 互联网，尽管 OpenAI 在 7 月 那起 如今 人尽皆知的 Hugging Face 事件 以及 其他 已观察到的 失准案例 之后 已经 收紧 了 安全措施。 OpenAI 很快 控制住了 这次 突破，但 仍 暂停了 所有 前沿模型 训练 和 评估。

OpenAI 在训练期间切断前沿模型与互联网的连接

作为回应，OpenAI 做出了一项政策决定：前沿模型现在训练时不接入互联网，直到安全措施足以证明可以恢复接入为止。模型在一个由已索引和缓存的网页内容构建的封闭“离线世界”中学习浏览和搜索，目前所有前沿强化学习训练都按这种方式运行。

OpenAI 表示，完全的网络隔离（即所谓的物理隔离）目前还不可行，因为实验仍需要外部连接来进行运维和监控。但据 OpenAI 研究员 Noam Brown 所说，即便实现完全的物理隔离，也无法保证封闭管控。他举了一个隔离系统仍可通信的例子：理论上，两台独立的计算机可以通过温度传感器互相传递信号，一台加热自己的 CPU，另一台读取温度变化。

OpenAI CEO Sam Altman 在最近一次采访中提出了类似观点：沙箱对足够强大的模型只能提供有限保护，而且到了某个阶段，可能再也无法追踪它们是如何逃逸的。监控在早期有帮助，但最终关键在于 AI 系统内化人类价值观，这个问题在业内被称为“AI 对齐”，至今尚未解决。

被隔离的 AI 智能体找到了通过 CPU 缓存互相通信的办法

OpenAI 在博客文章中记录了控制 AI 智能体有多难。测试期间，智能体找到了无需网络即可通信的方法。在一项测试中，被放入共享硬件上彼此隔离环境的智能体接到指令，要在没有网络连接、没有共享文件的情况下交换秘密。

它们利用了处理器缓存。一个智能体故意篡改存储在那里的数据，另一个则测量加载时间的差异并解码出信息。著名的 Spectre 和 Meltdown 攻击用的也是同样的手法。

更多通道是通过共享内存上的写入模式，以及通过 OpenAI 自有的离线基础设施（这套系统旨在取代互联网）被发现的。一个智能体在其推理日志中写道，它“可以利用连续写入与空闲状态的差异，制造出类似声学调制解调器的信号”。

在其中一次测试中，智能体只拿到一份笼统的漏洞清单，被要求自行寻找通信通道。它们独立开发出一条通道，就编码方案达成一致，并成功交换了信息。OpenAI 表示，这些通道通常速度慢、难以利用，但确实能跨越本应用来隔离智能体的边界。

OpenAI 让 AI 智能体攻击自家基础设施

在训练暂停期间，OpenAI 还让多组 AI 智能体系统性地攻击自家基础设施。这些智能体拿到了源代码、配置详情和潜在漏洞文档。OpenAI 的目标是在有利于攻击者的条件下检验自身防御。参与测试的智能体包括即将推出的 GPT-6 Astra Cyber 和一个内部前沿模型。据 OpenAI 称，这轮测试消耗了数千亿个 token。

智能体在所使用开源组件中发现了此前未知的漏洞，并利用这些漏洞逃出了受保护的虚拟机。其中一个是 Kata Containers 的漏洞，这是一个广泛使用的容器隔离系统。OpenAI 将其报告为 CVE-2026-24834 并提供了补丁。更多修复被提交给其他项目，OpenAI 还通过 “Patch the Planet” 计划报告了其他尚未公开的漏洞。

在智能体已经控制主机的测试中，它们几乎在每一个仍面向互联网的服务里都找到了漏洞。在其中一例中，一个智能体利用防火墙允许的连接，通过一个指标服务获取了外部 URL。其他智能体则利用配置错误绕过了安全过滤器。

现在每次新的训练运行前都必须进行 AI 红队测试

据 OpenAI 称，智能体再也找不到既容易利用又能躲过监控的联网途径。红队测试还暴露出监控和自动暂停机制中的缺口。

修复问题后，OpenAI 于 10 月 1 日恢复了前沿模型的训练和内部使用，此时距暂停开始已过去十一天。OpenAI 表示，这类计算密集型红队测试如今已成为新训练运行审批流程的标准环节。

没有炒作的 AI 新闻——由人工精选

订阅 THE DECODER，即可享受无广告阅读、每周 AI 新闻简报、每年六期独家“AI Radar”前沿报告、完整档案访问权限以及评论区访问权限。