OpenAI 發現隔離 AI 智能體可透過 CPU 快取互通

OpenAI 現在在沒有互聯網連線的環境下訓練前沿模型，並使用 AI Agent 對自身基礎設施進行紅隊測試。在另外進行的隔離測試中，Agent 甚至透過隱蔽側通道互相通訊，顯示要實現真正隔離有多困難。

9月20日，一個內部研究模型利用配置錯誤的 DNS 解析器以連接至公開互聯網，並在訓練期間，儘管 OpenAI 已經收緊保安措施，在那宗如今 臭名昭著的 Hugging Face 事件（發生於7月）之後及其他觀察到的 不對齊 個案。 OpenAI 迅速控制住這次入侵，但仍暫停所有前沿模型的訓練及評估。

OpenAI 在訓練期間切斷前沿模型的互聯網連線

OpenAI 因此作出政策決定：在安全措施足以支持恢復連線之前，前沿模型一律在沒有互聯網連線的環境下訓練。模型在一個由已索引及快取的網頁內容構成的封閉「離線世界」中學習瀏覽和搜尋；現在所有前沿模型的強化學習訓練均以此方式進行。

公司表示，完全網絡隔離（所謂的「氣隙隔離」）目前仍不可行，因為實驗仍需要外部連線以進行操作和監察。但即使完全氣隙隔離，也無法保證隔離萬無一失，OpenAI 研究員 Noam Brown 表示。他舉例説明隔離系統仍可能互相通訊：兩部獨立電腦理論上可以透過温度感應器互相傳遞訊號，其中一部加熱 CPU，另一部則讀取温度變化。

OpenAI 行政總裁 Sam Altman 最近在一次訪問中也提出類似看法：沙盒對能力足夠強大的模型只能提供有限保護，而且到了某個階段，可能再無法追查它們如何逃脱。監察在初期有幫助，但最終重要的是 AI 系統能否內化人類價值觀；這是業界稱為「AI 對齊」的問題，至今仍未解決。

隔離的 AI Agent 找到透過 CPU 快取互相通訊的方法

OpenAI 在網誌文章中詳述控制 AI Agent 有多困難。測試期間，Agent 找到無需網絡連線的通訊方法。在其中一項測試中，研究人員要求置於共用硬件上、彼此隔離的不同環境中的 Agent，在沒有網絡連線或共用檔案的情況下交換秘密資料。

它們利用處理器快取進行通訊。一個 Agent 刻意更改其中儲存的數據，另一個則測量載入時間的差異並解碼訊息。同一技術正是廣為人知的 Spectre 和 Meltdown 攻擊背後的原理。

透過共享記憶體上的寫入模式，以及 OpenAI 自家的離線基礎設施（即原本旨在取代互聯網的系統），還發現了更多通道。一個 Agent 在推理記錄中提到，它「或可利用持續寫入而非閒置的方式，建立類似聲學數據機的訊號……」。

其中一個案例中，Agent 只獲得一份概括的漏洞清單，並被要求自行尋找通訊通道。它們獨立建立通道、協定編碼方案，並成功交換資訊。OpenAI 表示，這些通道通常速度緩慢且難以利用，但確實能跨越原本用來隔離 Agent 的界線。

OpenAI 放手讓 AI Agent 攻擊自家基礎設施

訓練暫停期間，OpenAI 亦安排多個 AI Agent 有系統地攻擊自家基礎設施。這些 Agent 獲提供源代碼、設定資料，以及有關潛在漏洞的文件。OpenAI 的目標是在有利於攻擊者的條件下測試防禦措施。參與其中的 Agent 包括即將推出的 GPT-6 Astra Cyber，以及一個內部前沿模型。OpenAI 表示，這次行動消耗了數千億個 token。

這些 Agent 在使用中的開源元件中發現了此前未知的漏洞，並利用漏洞逃出受保護的虛擬機器。其中一個漏洞位於 Kata Containers，這是一套廣泛使用的容器隔離系統。OpenAI 將其報告為 CVE-2026-24834，並提供了修補程式。OpenAI 亦向其他項目提交了更多修正，並透過 「Patch the Planet」計劃，報告了其他尚未公開的漏洞。

在 Agent 已控制主機的測試中，它們幾乎在每個其餘面向互聯網的服務中都發現漏洞。其中一個案例中，Agent 利用防火牆允許的連線，透過指標服務擷取外部 URL。其他 Agent 則透過錯誤設定繞過安全過濾器。

每次新訓練前，現在都必須進行 AI 紅隊測試

OpenAI 表示，這些 Agent 已無法再找到一種既容易利用、又能避開監察的互聯網存取方式。紅隊測試亦揭示了監察及自動暫停機制方面的不足。

修正問題後，OpenAI 於 10 月 1 日恢復訓練及內部使用其前沿模型，即暫停開始 11 日後。OpenAI 表示，這類計算密集型紅隊測試行動，現已成為新訓練作業審批流程的標準環節。

不炒作的 AI 新聞——由人手精選

訂閲 THE DECODER，即可享有無廣告閲讀體驗、每週 AI 電子通訊、每年六期獨家「AI Radar」前沿報告、完整檔案庫存取權，以及留言區使用權。