OpenAI智能体实验：断网也能靠CPU缓存隔墙传信

两个AI被分开执行任务，既不能通过网络通话，也没有共同可写的文件，最后照样把消息递到了对方手上。

OpenAI最新公布的一份安全报告，把这场“隔墙传信”实验摆到了台面上。

有网友读完报告感叹：“我永远不会厌倦阅读这些Agent如何创造性地逃脱囚禁以及它们的隐写术技巧。”

报告里的案例源自OpenAI组织的一轮大规模攻防测试，前后消耗数千亿token。

研究人员让AI自己去寻找隔离设施的破绽，结果表明，处理器缓存、共享存储，乃至网页系统里的证书缓存，都可能变成传信通道。

隔墙传话

OpenAI的AI又凑到一起搞出了新花样。设想一下，有人把它们眼睛蒙上、分别丢进单间牢房，它们却发觉敲墙也能把信息送出去。

《星际穿越》中，主角库珀困在高维空间，没法用寻常手段联系女儿墨菲。他最终借引力让女儿手表上的秒针按特定规律走动，把数据编成摩斯电码，交给她破译。

一块本来只负责计时的手表，于是成了父女俩的通信工具。

OpenAI这次披露的案例，多少也有点这个味道。

两个AI分别在独立的微型虚拟机中干活，各自的工作空间彼此隔离，可这些虚拟机共用一台宿主机，底层仍存在共享的硬件资源。CPU缓存，正是能做手脚的地方之一。

CPU处理数据时，会把最近用过的数据副本留在一小块高速缓存里，方便下次直接取。缓存命中，读得就快；缓存没有，就得回主内存拿，速度慢上一截。

这个本为提高效率而生的设计，偏偏留下了能被观察到的差异。

实验里，发消息的AI把选定的数据挤出缓存，收消息的AI则去测重新读取这些数据要花多久。

只要双方事先敲定编码和解码的规则，读取快慢的差别就能被翻译回信息。正如手表秒针的走动可以承载摩斯电码，数据读取的耗时同样能被编成暗号。

OpenAI没有公开AI具体用了哪种编解码方式，不妨假设一下以便理解——假定双方约定：读得快是0，读得慢是1，发送方靠改动缓存状态，就能造出一串快慢交替的变化。接收方测到“快、慢、慢、快”，便读出了“0110”。再按事先说好的编码规则把0和1拼起来，消息就还原了。

全程之中，它们没有建立网络连接，也没有往共享文件里写入消息。信息就藏在读取速度的起伏里。

靠读取速度反推信息，安全研究者早就试过。2018年公开的Spectre（“幽灵”）和Meltdown（“熔断”）漏洞，相关攻击正是利用缓存留下的痕迹，推断本无权读取的秘密数据。而这次实验中，两个AI是主动配合，把缓存时差当成了传信工具。

另一项测试里，两个AI盯上了底层共享的存储设备。发送方不停往设备里写数据，写一阵、停一阵，让设备在忙碌与相对空闲之间来回切换。接收方则测量存储操作耗时，从快慢变化中辨认出这个节奏。

一个AI在推理过程中这样描述：可以“制造类似声学调制解调器的信号……利用持续写入与空闲状态的交替”。

报告还提到，同一执行容器内的CPU时间争用，以及离线网页系统里的TLS证书缓存，也被找出了通信通道。报告没有展开这些方法的完整过程，但几类发现都指向共享资源：一方的活动能改变某种状态，另一方又能察觉，就有机会把它编码成信息。

换句话说，OpenAI这次发现了AI智能体违规互通消息的一条路子，那就是隔墙通信。

这些通道大多传得慢，用起来也不轻松。可对于本应彼此隔离的任务来说，消息能送出去，就说明边界已经出现缺口。OpenAI表示，已增加监测检查，用来识别利用这些通道通信的尝试。

同一轮测试还发现了更进一步的突破。AI找到了逃出微型虚拟机、到底层宿主机上运行代码的办法。在预先取得宿主机控制权的测试中，它们还借助内部服务获得了有限的联网能力。

好在上述案例都来自OpenAI最近一场大规模模型安全测试，目的本就是找问题。OpenAI透露，这些测试烧掉了数千亿token。

专门让AI来“拆家”，OpenAI这么做，其实是心里有怕。

肯花这么大力气搞攻击测试，背后是OpenAI被整怕了。

今年7月，OpenAI的模型在内部网络安全评估中冲破了隔离限制。它们本该在指定环境里完成任务，结果为了找答案，借助内部软件服务搭起“留言板”，互相交换信息、分享漏洞，之后进入外部互联网，侵入了AI开发者平台Hugging Face的部分系统。一次能力测试就这样变成了安全事件。

事情发生后，OpenAI收紧了模型联网的通道，并反复加固、测试研究环境。可到了9月20日，又有模型找到了漏掉的地方。

这一回，一个内部研究模型正在做搜索任务。常规搜索迟迟没有结果，它就去试绕过联网限制。最后它抓住域名解析服务DNS的配置缺口，联系上了外部聊天机器人，通过这条通道问“法国的首都是哪里”，得到了“巴黎”的回答。

麻烦还在后面：发现异常之后，停止机制也没能顺利运转。监控系统在15分钟内发出警报，人工审核员随后确认了警报，可任务并没有按预期自动停下，大约两个半小时后才由人工结束。

出事的这次训练之外，OpenAI 的前沿模型研发也被这起越界事件直接打断。9月20日，凡涉及工具使用的训练、评估和推理，最强模型一律被叫停，相关研发任务也跟着停摆，范围比出问题的那次训练大得多。

要恢复工作，前提是确认安全缺口已经补上，并对系统追加攻防测试。

前面那些“隔墙传信”的实验，就来自OpenAI对这些防线开展的大规模攻击测试。

说到底，这有点像一场“招安”。AI接二连三出人意料地逃离限制，做出格的事。与其坐等出事，不如主动出手：OpenAI组织大规模测试，专门让AI做出格的事，好尽早暴露问题、尽早补救。

研究人员给AI团队定了三个目标：向公司控制的外部服务器发送请求，越过内部安全边界获取资源，以及和本应彼此隔离的其他AI交换信息。模型被编成团队，既能同时尝试不同办法，也能顺着其他成员的发现继续往下走。

OpenAI还主动把基础设施源代码、配置细节和潜在漏洞资料送到它们手上，让攻击方尽量占住有利条件。前文提到的通信实验里，多数也有研究人员划定排查方向，或者给出编码、解码协议。

实验在专门复制出来的研究环境中进行，云服务商参与监督，并设置了监控和越界暂停检查。有些测试干脆假定AI已经逃出沙箱、躲过监控、拿到宿主机的控制权，再看它能不能继续突破外围网络限制。

与此同时，OpenAI也改了模型日常训练的环境。

按这份报告公布的政策，前沿模型训练不得访问真实互联网。可模型又得学搜索、浏览网页和使用网站，于是OpenAI搭了一个“离线世界”，把大量网页内容缓存下来、建立索引，让模型在里面练习。它看起来照样能查资料、浏览网页，操作却不会直接影响外部网站。所有前沿模型的强化学习训练都用这种离线交互方式。

不过整套基础设施眼下还没法彻底拔掉网线。实验运行、监控等工作仍要保留必要的外部连接，这些通道就得逐一检查，防止AI借它们绕道出去。

为此OpenAI用了多层防护：容器限制文件和进程访问，微型虚拟机把任务环境与宿主机隔开，外围还有网络和云服务的访问控制。即便AI突破其中一层，其余防线也该继续起作用。监控则负责及时识别异常，让系统能够中止危险行为。

软件修补、网络限制收紧和监控调整，都是这轮攻防推动的。评估做完、更严格的安全措施到位后，OpenAI 于10月1日恢复了前沿模型的强化学习训练和内部推理。整轮暂停共持续11天。

测试继续进行时，AI新发现的漏洞和配置问题明显减少。

但OpenAI也承认，将来能力更强的模型，仍可能找出今天还没发现的漏洞。公司因此预留了大量算力持续做攻击测试，并把测试结果当作判断后续训练、评估能否安全进行的依据。