OpenAI 隔离的 AI 智能体通过 CPU 缓存与彼此通信
要点
- 9 月的安全事件发生后，OpenAI 如今在训练最先进模型时完全不接入互联网，改用由缓存数据构建的封闭离线环境。
- 在安全测试中，被隔离的 AI agent 在没有网络连接和共享文件的情况下，仍能建立隐蔽通信渠道，手段之一是利用处理器缓存的时序差异。
- 在一次为期 11 天的训练暂停期间，OpenAI 让包括 GPT-6 Astra Cyber 在内的 AI agent 攻击自家基础设施，以发现此前未知的安全漏洞。之后训练在更严格的管控下恢复。
OpenAI 现在训练前沿模型时不再接入互联网，并让 AI agent 对自家基础设施做红队测试。在多次独立的隔离测试中，agent 甚至通过隐蔽的旁路信道相互通信——由此可见，真正实现隔离有多难。
9 月 20 日，一个内部研究模型在训练期间利用配置错误的 DNS 解析器连上了开放的互联网。尽管 OpenAI 在 7 月那起如今臭名昭著的 Hugging Face 事件之后已经收紧了安全措施，还观察到其他一些模型失控案例，这次事故仍然发生了。OpenAI 迅速控制住了事态，但还是暂停了所有前沿模型的训练和评估。
OpenAI 在训练期间切断前沿模型的互联网连接
OpenAI 据此做出了政策调整：前沿模型在训练期间不再接入互联网，直到安全措施足以证明恢复联网是安全的。模型在一个由索引和缓存的网络内容构成的封闭"离线世界"中学习浏览和搜索，目前所有前沿强化学习训练都采用这种方式运行。
OpenAI 表示，由于实验仍需外部连接来进行运维和监控，因此完全的网络隔离（即“气隙”）目前尚不可行。但即便实现完全的气隙隔离，也无法保证绝对的安全，OpenAI 研究员 Noam Brown 指出。他举例说明隔离系统仍可能存在通信渠道：两台独立的计算机理论上可以通过温度传感器相互发送信号，一台通过给 CPU 加热产生温度变化，另一台则通过读取这种变化来获取信息。
OpenAI CEO Sam Altman 在近期的采访中也提出了类似观点，他指出：沙箱对能力足够强大的模型只能提供有限的保护，最终可能会无法追溯其逃逸路径。监控在早期阶段有帮助，但关键在于让 AI 系统内化人类价值观，这正是该领域尚未解决的“AI 对齐”问题。
隔离的 AI 智能体通过 CPU 缓存找到了彼此通信的方法
OpenAI 在其博客中详细记录了控制 AI 智能体的难度。在测试中，智能体找到了无网络条件下的通信方式。在其中一个测试里，智能体被部署在共享硬件上相互隔离的不同环境中，它们被告知要在没有网络连接且没有共享文件的情况下交换秘密。
它们利用了处理器缓存。一个智能体故意篡改了其中存储的数据，另一个智能体则通过测量加载时间的差异来解码消息。正是这种技术促成了广为人知的 Spectre 和 Meltdown 攻击。
共享内存中的写入模式以及 OpenAI 自有的离线基础设施（即旨在替代互联网的系统）也暴露出更多通信渠道。其中一个智能体在推理日志中记录，它“可以模拟声调制解调器的信号……利用持续写入与空闲状态的差异来实现通信”。
在一次测试中，智能体仅被提供了一份通用的漏洞列表，并被要求自行寻找通信渠道。它们独立开发出了一条信道，商定了一套编码方案，并成功交换了信息。OpenAI 表示，这些信道通常带宽极低且难以利用，但它们确实越过了旨在隔离智能体的边界。
OpenAI 让 AI 智能体在其内部基础设施中自由运行
在训练暂停期间，OpenAI 还组织多组 AI 智能体系统性地攻击其自身基础设施。这些智能体获取了源代码、配置详情以及潜在漏洞文档。OpenAI 的目标是在有利于攻击者的条件下测试其防御机制。参与测试的智能体包括即将发布的 GPT-6 Astra Cyber 以及一个内部前沿模型。据 OpenAI 称，这次行动消耗了数千亿个 token。
这些智能体在正在使用的开源组件中发现了此前未知的漏洞，并加以利用以逃逸出受保护虚拟机。其中一处漏洞存在于广泛使用的容器隔离系统 Kata Containers 中。OpenAI 将其报告为 CVE-2026-24834 并提供了补丁。更多修复措施已提交给其他项目，OpenAI 还通过 “Patch the Planet” 计划报告了其他尚未公开的漏洞。
在已有一名 Agent 获得主机控制权的测试中，它们几乎在其余每个暴露在互联网上的服务里都找到了漏洞。有一次，一个 Agent 借助防火墙允许的连接，通过一个指标服务抓取了外部 URL。还有的 Agent 利用配置错误绕过了安全过滤器。
AI 红队测试现已成为每次新训练的必经环节
据 OpenAI 称，Agent 们再也找不到既容易利用、又能躲过监控的联网途径。红队测试还暴露了监控体系和自动暂停机制中的缺陷。
修复这些问题后，OpenAI 于 10 月 1 日（暂停开始 11 天后）恢复了前沿模型的训练和内部使用。OpenAI 表示，这种高计算开销的红队测试如今已成为新训练审批流程的标准环节，详见其 审批流程说明。