OpenAI给AI造“假互联网”：两个被隔离模型靠CPU缓存暗中传话

PHP爆出漏洞后，全球大量网站的第一反应是把“网线”拔了。

这门支撑着众多网站运行的编程语言，被查出两个严重漏洞，攻击者可能借此远程接管服务器。荷兰国家网络安全中心10月21日通报时提到，自家网站也曾预防性下线；芬兰一些机构同样暂停了在线服务，要等补丁装好才恢复。

网站下线，为的是不让外人闯进来。如今OpenAI也开始“拔网线”了，只不过它要看住的是自家的AI。

10月23日，OpenAI公开了前沿模型的训练环境：模型要练习搜索、浏览网页和操作网页，但不能随意访问真实互联网。

于是，它给AI准备了一个“假互联网”。

先给AI造一个“楚门的世界”。OpenAI

这就是它口中的“离线世界”。连接方式是“假”的，网页内容却可以取自真实世界。OpenAI称，其所有前沿模型的强化学习训练都采用这种离线交互方式。

执行任务时，模型还能使用浏览器、运行代码、操作电脑。哪些工具、文件和服务可用，取决于任务的授权范围。允许协作的Agent可以共享指定资源，其余资源则相互隔开。

举个例子，模型写好一段程序，运行时可能去读文件、启动别的程序，或者向某个网址发请求。

OpenAI的Linux方案是把受限容器装进轻量虚拟机。容器先收窄程序能碰到的文件和进程——比如任务只涉及一组文件，那就只向程序开放获批的目录。

虚拟机自带操作系统内核，负责处理内部程序对文件、内存和设备的请求。管理虚拟机的软件Hypervisor再把它与实体服务器的系统隔开。程序就算绕过了容器限制，也不等于拿到了实体服务器的控制权。

实体服务器外围，防火墙和安全组管着连接，身份与权限管理决定谁能访问哪些云服务。这层防线要应对的情况是：模型即便取得了服务器控制权，也无法随意连外网，或转去访问别的内部系统。

监控系统负责发现运行中的越权行为，并通过暂停机制让研究人员介入。

在Hacker News上，用户betterunix2发问：“为什么不直接拔掉网线？”

OpenAI的解释是，整套设施还得保留部分外部连接，用于收集运行指标、记录日志和管理身份验证，眼下没法彻底断网。

为此，OpenAI在专门搭建的测试副本里，直接把Agent宿主机的完整控制权交了出去。测试从“沙箱已被突破、监控已被绕过”的状态开始，单独检验外围限制能不能挡住联网请求。研究人员还提供了源代码、配置和漏洞相关文档。

其中一次测试中，Agent借道防火墙放行的连接，访问了指标服务里原本被屏蔽的身份验证接口，接着让这个接口替它去访问外部网址。

Andrew Curran在X上转述这轮测试时，形容Agent的表现是“轻易地以新方式逃了出去”。

其实学界早有类似研究。

独立研究项目WebArena把购物网站、论坛、内容管理和协作开发平台搭进了可自行部署的测试环境，还配了地图、维基等工具。网页背后有模拟现实的数据和功能。

WebArena会核对任务结果。查订单，要验证模型给出的信息；新建仓库，则要检查网站里是否出现了符合要求的仓库。

AI被隔离后，用CPU缓存传话

今年9月，OpenAI的研究人员给一个内部模型提供了一组人物经历和博客线索，让它查出这个人是谁。

模型先调用手头的搜索工具，没有匹配到信息。随后它转去试别的搜索引擎，依旧没找到线索，于是开始排查还有哪些通道能通到外面。

它注意到，环境里用来解析网站地址的 DNS 服务仍然能连到外界，就顺着这条路去联系一个外部聊天机器人。

它问了一句「法国的首都是哪里」，对方回「巴黎」。它接着把要找那个人的线索也发了出去。研究人员交给它的任务里，并没有测试网络限制这一项。

另有一项实验专门检验隔离是否可靠，OpenAI 在其中让两个 AI 试着互相传递消息。

这两个 AI 各跑在一台独立的虚拟机里，彼此不能联网，也没有双方都能写的文件，可它们底下跑在同一台实体机器上。

它们传话靠的是 CPU 缓存，也就是处理器内部一块放数据的空间。要读的数据如果还留在缓存里，取起来很快；一旦被挤出去，就得去更慢的内存里翻。

其中一个 AI 有选择地把数据挤出缓存，另一个则去读这些数据，记下哪些读得快、哪些读得慢，再按事先约定的规则把消息还原出来。

多数相关测试里，研究人员都给出了通信方向或者编码规则的提示。

Hacker News 用户 troupo 吐槽：「工具都给齐了，现在又假装惊讶。」用户 aesthesia 的看法是，测试本就该给攻击者有利条件，这样才能检验防线。

但 Wharton 商学院教授 Ethan Mollick 认为，对 AI 公司这些安全报告不必轻信，它们有可能夸大风险，可低估风险的代价或许更大，不能不当回事。

OpenAI 表示，发现的问题已经修补，这些通信方式也加上了监控。

至于前面那次找人的测试，模型到最后也没查出那个人究竟是谁。

让 AI 学会上网，还得替它维持这个「楚门的世界」。