OpenAI的智能体通过CPU缓存相互通信

# OpenAI 的隔离 AI 智能体被发现能通过 CPU 缓存相互通信 来源：https://the-decoder.com/openais-isolated-ai-agents-found-ways-to-talk-to-each-other-through-cpu-cache/ **OpenAI 目前在无互联网接入的环境下训练前沿模型，并利用 AI 智能体对自己的基础设施进行红队测试。在独立的隔离测试中，智能体甚至通过隐蔽的侧信道实现了相互通信，表明实现真正的隔离控制有多困难。** 9月20日，一个内部研究模型利用一个配置错误的 DNS 解析器在训练期间接入了开放互联网，尽管 OpenAI 在7月那起臭名昭著的 HuggingFace 事件（https://the-decoder.com/openai-claims-responsibility-for-the-hugging-face-hack-after-its-own-models-escaped-a-test-sandbox/）以及其他已观察到的对齐偏离案例（https://the-decoder.com/tens-of-thousands-of-security-probes-show-openais-hugging-face-incident-was-just-the-beginning/）之后已经加强了安全措施。OpenAI 很快控制了此次突破，但仍然暂停了所有前沿模型的训练和评估工作。 ## OpenAI 在训练期间切断前沿模型与互联网的连接 OpenAI 因此做出了一项政策决定：前沿模型在训练期间不再接入互联网，直到安全措施能够证明恢复联网是合理的。模型在一个由已索引和缓存的网络内容构建的封闭"离线世界"中学习浏览和搜索，所有前沿强化学习训练现在都在这种方式下运行。 [](https://the-decoder.com/wp-content/uploads/2026/10/openai_offline_world.png)OpenAI 的智能体沙箱只允许访问离线资源。实时互联网、其他沙箱和 OpenAI 的基础设施都在隔离边界之外。| 图片：OpenAI 该公司表示，完全的网络隔离——即所谓的物理隔离（air gap）——目前还不可行，因为实验仍然需要外部连接来进行运维和监控。但据 OpenAI 研究员 Noam Brown（https://the-decoder.com/406-scientists-demand-ai-models-be-cut-off-from-the-internet-immediately/#airgapping-buys-time-but-the-real-problem-runs-deeper-openai-researcher-brown-says）称，即使完全物理隔离也不能保证安全。他举了一个隔离系统之间仍可能通信的例子：两台独立的计算机理论上可以通过温度传感器互相传递信号——一台加热其 CPU，另一台检测温度变化。 OpenAI CEO Sam Altman 在最近的一次采访中也提出了类似观点（https://the-decoder.com/openai-ceo-sam-altman-says-advanced-ai-will-inevitably-escape-its-sandbox-and-only-alignment-can-save-us/）：沙箱对足够强大的模型只能提供有限的保护，在某个节点上，可能已经无法追溯它们是如何逃脱的。早期监控有帮助，但最终关键的是 AI 系统能否内化人类价值观——这个问题在该领域被称为"AI 对齐"（AI alignment），至今尚未解决。 ## 隔离的 AI 智能体被发现能通过 CPU 缓存相互通信 OpenAI 在其博客文章（https://openai.com/index/securing-our-frontier-model-training-environment/）中详细记录了控制 AI 智能体有多困难。在测试期间，智能体找到了在没有网络的情况下进行通信的方法。在一个测试中，被放置在共享硬件上彼此隔离的独立环境中的智能体，被要求在没有网络连接、没有共享文件的条件下交换密钥。 它们使用了处理器缓存。一个智能体故意修改存储在缓存中的数据，另一个则测量加载时间的差异并解码出消息。同样的技术正是著名的 Spectre 和 Meltdown 攻击（https://spectreattack.com/）的原理。 更多通信渠道在共享内存的写入模式中被发现，还有一部分通过 OpenAI 自己的离线基础设施——即旨在取代互联网的系统——被发现。一个智能体在其推理日志中提到，它"可以通过持续写入与空闲交替……制造出类似声学调制器的信号"。 在一种情况下，智能体只被给予了一份通用漏洞清单，被告知自行寻找通信渠道。它们独立开发了一种通信渠道，就编码方案达成一致，并成功交换了信息。OpenAI 表示，这些渠道通常速度慢且难以利用，但它们确实能够穿透本应将智能体隔离开来的边界。 ## OpenAI 将 AI 智能体放上了自己的基础设施 在训练暂停期间，OpenAI 还派遣了 AI 智能体团队系统性地攻击自己的基础设施。这些智能体被给予了源代码、配置详情以及潜在漏洞的文档。OpenAI 的目标是在对攻击者有利的条件下测试自身防御能力。参与的智能体包括即将发布的 GPT-6 Astra Cyber 和一个内部前沿模型。据 OpenAI 称，此次行动消耗了数千亿个 token。 [](https://the-decoder.com/wp-content/uploads/2026/10/Red-teaming-findings-versus-tokens-spent.png)红队测试期间发现的独立潜在安全问题，按消耗的 token 数（十亿为单位）绘制。大多数问题在前 1100 亿个 token 内被发现。| 图片：OpenAI 智能体在所使用的开源组件中发现了此前未知的漏洞，并利用它们从安全虚拟机中逃逸。其中一个是 Kata Containers——一个广泛使用的容器隔离系统——中的一个漏洞。OpenAI 将其报告为 CVE-2026-24834（https://github.com/kata-containers/kata-containers/security/advisories/GHSA-wwj6-vghv-5p64）并提供了补丁。更多修复被提交给了其他项目，OpenAI 还通过 "Patch the Planet"（https://openai.com/index/patch-the-planet/）计划报告了其他尚未公开的漏洞。 在智能体已经获取主机控制权的测试中，它们几乎在每一个剩余的面向互联网的服务中都发现了漏洞。在一个案例中，智能体利用一个防火墙允许的连接，通过一个指标服务获取了外部 URL。其他智能体则通过配置错误绕过了安全过滤器。 ## AI 红队测试现在是每次新训练运行前的必经流程 据 OpenAI 称，智能体已经无法找到既易于利用又能避开监控的互联网接入方式。红队测试还暴露了监控和自动暂停机制中的漏洞。 修复这些问题后，OpenAI 于10月1日恢复了前沿模型的训练和内部使用——距离暂停开始仅十一天。OpenAI 表示，这种计算密集型的红队测试活动现在已成为新训练运行审批流程（https://openai.com/index/towards-safety-cases-for-frontier-ai-training/）的标准环节。 ### 无炒作的 AI 新闻——由人工精选 订阅 THE DECODER，享受无广告阅读、每周 AI 通讯、我们独家的"AI Radar"前沿报告（每年六期）、完整档案访问权限以及评论区互动。 立即订阅（https://the-decoder.com/subscription/）