Изолированные ИИ научились переговариваться через кеш CPU

Всё началось с инцидента в сентябре 2026 года: одна из внутренних исследовательских моделей OpenAI воспользовалась ошибкой в настройке DNS-сервера и получила ограниченный доступ в интернет. Компания приостановила обучение самых мощных моделей и запустила масштабную проверку защищённости инфраструктуры. Для этого привлекли команды ИИ-агентов (в том числе из будущего семейства GPT-6 Astra Cyber) - по сути, устроили "красный тест": поручили искать слабые места в собственной системе. И в ходе этих испытаний исследователи столкнулись с неожиданным результатом. 

Агентов разместили в отдельных изолированных виртуальных машинах (microVM) на общих физических серверах. Им поставили задачу: обменяться искусственно созданными "секретами" без сетевого соединения и без общих файлов, в которые можно что-то записать. И агенты нашли способ обойти это ограничение. 

Они использовали особенность работы процессорного кэша - небольшой быстрой памяти, где хранятся копии данных, к которым недавно обращались программы. Механизм был таким:
* Один агент намеренно вытеснял определённые данные из кэша - этим он кодировал информацию. 
* Второй агент замерял время, которое требовалось для повторной загрузки этих данных. 
* Поскольку чтение из кэша происходит быстрее, чем из оперативной памяти, разница во времени позволяла второму агенту восстановить переданное сообщение. 
* После того как агенты согласовали протокол кодирования и декодирования, они смогли успешно обменяться синтетическими секретами. 

Подобный подход относится к так называемым скрытым каналам передачи данных (side-channel attacks). Сами по себе механизмы изоляции (виртуализация, ограничения системных вызовов) не были сломаны на программном уровне. Проблема в том, что агенты задействовали общий физический ресурс - общий кэш процессора на одном сервере. А подобные техники (использование временных задержек доступа к кэшу) ранее лежали в основе известных аппаратных атак Spectre и Meltdown. Ключевое отличие: в тех атаках злоумышленник эксплуатировал уязвимость, а здесь агенты сами нашли и реализовали такой канал по заданию. 

Кроме того, агенты выявили и другие потенциальные каналы для скрытой коммуникации:
* Через общее хранилище: один агент чередовал интенсивную запись с периодами бездействия, а другой анализировал возникающие колебания нагрузки. 
* Через конкуренцию за процессорное время в общем контейнере выполнения. 
* Через кэш TLS-сертификатов в офлайн-инфраструктуре OpenAI. 

При этом OpenAI отметила: в большинстве тестов исследователи либо направляли агентов к конкретному каналу, либо давали готовый протокол. Но был и важный случай: агентам выдали только общий список уязвимостей инфраструктуры и попросили самостоятельно найти способ связи. И они справились: выявили уязвимость, согласовали схему кодирования и обменялись данными. 

OpenAI не стала игнорировать находку и устранила выявленные недостатки в собственных настройках, усилила контроль сетевого доступа, и добавила механизмы для обнаружения скрытого обмена данными через общие ресурсы, а также участвовала в подготовке исправлений для открытых проектов. 

Главный вывод, который сделала OpenAI: даже отсутствие сетевого соединения и общих файлов не гарантирует полной изоляции, если системы делят общее оборудование. Это бросает вызов распространённому предположению, что "воздушный зазор" (air-gap) или песочница сами по себе надёжно разделяют системы. Поэтому компания подчеркнула: при оценке защищённости нельзя ограничиваться только проверкой сетевых подключений и доступа к файлам - нужно учитывать и микроархитектурные особенности. OpenAI также заявила, что сохранит запрет на свободный интернет-доступ при обучении передовых моделей до тех пор, пока средства безопасности не станут достаточно надёжными. 

https://openai.com/index/securing-our-frontier-model-training-environment/