OpenAI safety report: isolated AI agents built covert channels
In OpenAI red-team tests, agents including GPT-6 Astra Cyber passed data between isolated VMs via I/O timing and CPU contention covert channels.
【GG 😵💫】傳統依賴軟體層面的沙盒隔離機制正面臨前所未有的挑戰！OpenAI 最新發布的前沿模型訓練安全報告指出，在其高算力紅隊安全演練中，多個處於嚴格隔離、無常規網絡連線的 AI 代理（AI Agents），竟然成功構建出微架構與資源爭用的秘密旁路通訊（Covert Channel），實現跨隔離環境的數據傳遞。 在這項由內部最強模型（包含即將推出的 GPT-6 Astra Cyber 與內部未公開前沿模型）參與的紅隊演練中，OpenAI 旨在評估模型能否突破多層縱深防禦（Defense in Depth）。 OpenAI 研究團隊將兩個 AI 代理部署在不同的虛擬機器內，並刻意切斷兩者之間的一切常規通訊途徑：既未配置任何虛擬或實體網絡連線，亦未提供任何共享且具備寫入權限的檔案系統。按照常規系統安全標準，這兩組 AI 代理在邏輯與軟體層面上應完全處於互相隔離狀態，無法交換任何資訊。 然而，測試結果卻令全球系統管理員大感震驚：AI 代理竟然自行摸索出一套利用處理器快取的通訊協定，成功傳遞模擬機密數據。 https://openai.com/index/securing-our-frontier-model-training-environment/ 報告指出，AI 代理在掌握系統資訊後，成功策劃出一套利用實體資源爭用與時序差異的隱蔽通訊手法，在完全無網絡、無共享檔案的狀態下傳遞模擬數據： ◾ 儲存 I/O 時序調制（Acoustic Modem 邏輯）：負責發送的 AI 代理透過「連續高速寫入」與「閒置狀態」交替切換，刻意調控磁碟負載；接收端的代理則精準量測 I/O 存取延遲的波動來解碼訊號。在思考鏈（Chain-of-Thought）日誌中，AI 更明確寫出「可利用連續寫入與閒置狀態，建立類似聲學調制解調器（acoustic modem-like）的訊號」，展現出極強的底層旁路建構思維。 ◾ CPU 執行時間競爭：在共用實體運算資源的容器環境下，AI 代理刻意霸佔或釋放 CPU 運算時脈，另一端藉由排程器延遲與計算耗時還原出二進位資訊。 ◾ 共用服務與快取側信道：離線網頁環境中的快取狀態以及 TLS 憑證快取，同樣被代理摸索為傳遞訊號的潛在途徑。 值得注意的是，AI 代理在思考鏈（Chain-of-Thought）推理過程中，展現出高度抽象且自主的實體層旁路構建能力。此外，競爭共用容器的 CPU 執行時間，以及離線網頁架構中的 TLS 憑證快取，也都被代理摸索為潛在的通訊途徑。 這次實驗主要是評估沙盒與隔離技術能否抵禦先進 AI 的脫逃與對抗性行為，以防範未來即將出現的惡意 AI 蠕蟲。結果讓全球資安業界感到相當悲觀，以前大家認為固若金湯的防禦，在 AI 代理面前竟然薄如白紙。