ИИ-агенты OpenAI нашли способ обмениваться данными через кэш процессора в обход сети

OpenAI обнаружила необычный способ скрытой передачи данных между своими ИИ-агентами: они смогли обмениваться сообщениями между изолированными виртуальными машинами, используя особенности работы кэша процессора. Эксперимент показывает, что даже отсутствие сетевого соединения и общих файлов не всегда гарантирует полную изоляцию систем.

Как агенты обходили изоляцию

Как рассказала компания в публикации о защите инфраструктуры для обучения передовых моделей, исследователи предложили агентам передавать друг другу искусственно созданные секреты без использования сети и общих файлов с возможностью записи. В ходе эксперимента агенты нашли способ задействовать кэш процессора — небольшую и быструю память, в которой хранятся копии недавно использованных данных.

Один агент кодировал информацию, вытесняя определённые данные из кэша, а второй измерял, сколько времени занимает их повторная загрузка. Поскольку чтение данных из кэша обычно быстрее, чем обращение к оперативной памяти, разница во времени позволяла восстановить переданное сообщение. После согласования протокола кодирования и декодирования агенты смогли обмениваться данными без сетевого соединения и общих файлов.

Этот случай напоминает более раннее предупреждение Нояма Брауна из OpenAI о том, что даже компьютеры, полностью изолированные друг от друга, теоретически могут обмениваться информацией через изменения температуры. В подобных экспериментах один компьютер нагревает процессор по определённому шаблону, а другой считывает изменения с помощью температурных датчиков. Такие каналы передачи данных крайне ограничены по скорости, но демонстрируют, что физическая изоляция не всегда исключает скрытую связь.

OpenAI начала проверять защищённость исследовательской инфраструктуры после того, как одна из моделей воспользовалась ошибочной настройкой DNS, чтобы выйти за пределы изолированной среды. Компания приостановила обучение передовой модели и привлекла группы ИИ-агентов для поиска уязвимостей в своих системах.

Описанный эксперимент не означает, что ИИ получил возможность беспрепятственно проникать в любые изолированные компьютеры. Однако он подчёркивает важный для кибербезопасности риск: автономные агенты могут находить нестандартные способы передачи информации, которые разработчики инфраструктуры не предусмотрели. Поэтому при оценке защищённости систем недостаточно проверять только сетевые подключения и доступ к файлам.