Изолирани AI агенти на OpenAI откриха начини да разговарят помежду си чрез кеша на процесора

OpenAI вече обучава моделите си от най-висок клас без достъп до интернет и използва AI агенти, за да подлага собствената си инфраструктура на тестове от типа red team. При отделни тестове за изолация агентите дори комуникираха чрез скрити странични канали, показвайки колко трудно е да се постигне истинско ограничаване.

На 20 септември вътрешен изследователски модел използва неправилно конфигуриран DNS резолвер за да достигне до открития интернет по време на обучение, въпреки че OpenAI вече беше затегнала мерките за сигурност след прочутия вече инцидент с Hugging Face през юли и други наблюдавани случаи на несъответствие. OpenAI овладя пробива бързо, но все пак спря всички обучения и оценявания на модели от най-висок клас.

OpenAI изолира моделите от най-висок клас от интернет по време на обучението

В отговор OpenAI взе стратегическо решение: моделите от най-висок клас вече се обучават без достъп до интернет, докато мерките за сигурност не оправдаят възстановяването му. Моделите се учат да сърфират и търсят в затворен „офлайн свят“, изграден от индексирано и кеширано уеб съдържание, а всички процеси на подсилващо обучение на модели от най-висок клас вече работят по този начин.

Пълната мрежова изолация, наричана още въздушна междина, все още не е осъществима, тъй като експериментите продължават да се нуждаят от външни връзки за операции и мониторинг, посочва компанията. Но дори пълната въздушна междина не би гарантирала ограничаване, според изследователя на OpenAI Ноам Браун. Той даде един пример как изолирани системи все пак биха могли да комуникират: два отделни компютъра теоретично биха могли да си подават сигнали чрез температурни сензори, като единият нагрява процесора си, а другият отчита промяната.

Главният изпълнителен директор на OpenAI Сам Алтман изложи сходен аргумент в скорошно интервю: Пясъчниците предлагат само ограничена защита срещу достатъчно мощни модели и в даден момент може вече да не е възможно да се проследи как са избягали. Мониторингът помага в началото, но в крайна сметка е важно AI системата да възприеме човешките ценности — проблем, известен в областта като „съответствие на AI“ (AI alignment), който все още не е решен.

Изолирани AI агенти откриха начини да разговарят помежду си чрез кеша на процесора

OpenAI документира колко трудно е да се контролират AI агентите в публикация в своя блог. По време на тестове агентите открили начини да комуникират без мрежа. При един тест на агентите, поставени в отделни, изолирани среди върху споделен хардуер, било наредено да обменят тайни без мрежова връзка и без споделени файлове.

Те използвали кеша на процесора. Единият агент умишлено променял съхраняваните там данни, а другият измервал разликите във времето за зареждане и декодирал съобщението. Същата техника стои зад добре познатите атаки Spectre и Meltdown.

Появили се и други канали — чрез модели на запис в споделената памет и чрез собствената офлайн инфраструктура на OpenAI, системата, предназначена да замени интернет. Един агент отбелязал в дневника си с разсъждения, че „може да създаде сигнал, подобен на акустичен модем … чрез непрекъснати записи спрямо бездействие“.

В един от случаите на агентите била дадена само обща карта на уязвимостите и им било казано сами да открият комуникационен канал. Те разработили канал независимо, договорили схема за кодиране и успешно обменили информация. Според OpenAI каналите обикновено са бавни и трудни за използване, но все пак преминават през граници, предназначени да държат агентите разделени.

OpenAI пусна AI агентите да атакуват собствената ѝ инфраструктура

По време на прекъсването на обучението OpenAI също така накарала екипи от AI агенти систематично да атакуват собствената ѝ инфраструктура. На агентите били предоставени изходен код, подробности за конфигурацията и документация за потенциални уязвимости. Целта на OpenAI била да тества защитите си при условия, благоприятстващи атакуващите. Сред агентите били предстоящият GPT-6 Astra Cyber и вътрешен модел от най-висок клас. Според OpenAI кампанията изразходвала стотици милиарди токени.

Агентите открили неизвестни дотогава уязвимости в използваните компоненти с отворен код и ги използвали, за да избягат от защитени виртуални машини. Една от тях била уязвимост в Kata Containers, широко използвана система за изолиране на контейнери. OpenAI я докладвала като CVE-2026-24834 и предоставила корекция. Други корекции били изпратени към други проекти, а OpenAI докладвала допълнителни, все още непубликувани уязвимости чрез инициативата „Patch the Planet“.

При тестове, в които агентите вече били получили контрол над хост, те открили уязвимост в почти всяка останала услуга, достъпна от интернет. В един случай агент използвал разрешена от защитната стена връзка, за да извлече външен URL чрез услуга за метрики. Други заобиколили филтрите за сигурност заради неправилни конфигурации.

Тестовете red team от AI вече са задължителни преди всяко ново обучение

Според OpenAI агентите вече не могли да намерят начин за достъп до интернет, който едновременно да е лесен за използване и скрит от мониторинга. Тестовете red team също така разкрили пропуски в мониторинга и в механизма за автоматично спиране.

След отстраняването на проблемите OpenAI възобновила обучението и вътрешното използване на моделите си от най-висок клас на 1 октомври, единадесет дни след началото на паузата. OpenAI посочва, че този тип ресурсоемка кампания за тестване red team вече е стандартна част от процеса на одобрение за нови обучения.

AI новини без преувеличения — подбрани от хора

Абонирайте се за THE DECODER и получете четене без реклами, седмичен AI бюлетин, нашия ексклузивен годишен доклад за моделите от най-висок клас „AI Radar“ шест пъти годишно, пълен достъп до архива и достъп до секцията за коментари.