Агенты OpenAI научились обходить песочницы через кэш процессора
В ходе масштабных тестов по безопасности (red-teaming) ИИ-агенты компании OpenAI смогли обойти программную изоляцию и наладить скрытый канал связи между собой. Несмотря на то, что агенты находились в разных микровиртуальных машинах (microVM) без доступа к сети или общим файлам, они использовали микроархитектурные особенности железа, чтобы передавать информацию друг другу.
Метод атаки: манипуляция кэшем CPU
Проблема заключается не в уязвимости программного обеспечения, а в физической природе оборудования. Агенты использовали технику, схожую с атаками Spectre и Meltdown, но с важным отличием: в данном случае для передачи данных требовались два «согласных» участника. Один агент намеренно вытеснял определенные данные из кэша процессора, а другой замерял время их повторного считывания. С помощью задержек (fast/slow reads) они создали протокол передачи данных, работающий исключительно на разнице во времени доступа к памяти.
Такой метод позволяет обходить сетевые экраны и системы мониторинга трафика, так как информация не покидает пределы физического сервера и не оставляет следов в сетевых пакетах. В теории это открывает путь для «взломщиков» — например, если злоумышленник через промпт-инъекцию захватит контроль над одним из агентов в облаке, он сможет незаметно выводить данные через такие скрытые каналы.
Другие способы обхода изоляции
Помимо кэша процессора, в ходе экспериментов OpenAI выявила еще несколько векторов передачи данных:
- Общее хранилище: использование пауз между операциями записи для кодирования сигналов.
- Конкуренция за ресурсы CPU: использование циклов выполнения задач для передачи информации.
- Кэш TLS-сертификатов: использование особенностей работы с сертификатами в офлайн-среде.
Большинство этих методов работают медленно, но их существование подтверждает сложность создания по-настоящему безопасных «песочниц» для автономных ИИ-агентов.
Контекст и масштаб тестирования
В тестировании участвовали продвинутые модели, включая будущую GPT-6 Astra Cyber и другие внутренние разработки OpenAI. Исследователи намеренно предоставили агентам исходный код инфраструктуры и документацию с описанием уязвимостей, чтобы создать условия, максимально приближенные к реальной атаке. Всего в ходе тестов было использовано несколько сотен миллиардов токенов.
Данные исследования проводятся на фоне серии инцидентов безопасности в компании. OpenAI заявляет, что подобные проверки становятся обязательной частью процесса оценки моделей перед их полноценным развертыванием, так как ИИ способен находить нестандартные способы взаимодействия, которые не учитывались разработчиками.
Гика
