Ізольовані ШІ-агенти OpenAI знайшли способи спілкуватися один з одним через кеш процесора

OpenAI тепер навчає передові моделі без доступу до інтернету й використовує ШІ-агентів для перевірки безпеки власної інфраструктури. Під час окремих тестів ізоляції агенти навіть спілкувалися через приховані побічні канали, демонструючи, наскільки складно забезпечити справжню ізоляцію.

20 вересня внутрішня дослідницька модель використала неправильно налаштований DNS резолвер і отримала доступ до відкритого інтернету під час навчання, хоча OpenAI вже посилила заходи безпеки після сумнозвісного інциденту з Hugging Face у липні та інших зафіксованих випадків неузгодженості. OpenAI швидко локалізувала порушення але все одно призупинила все навчання та оцінювання передових моделей.

OpenAI від’єднує передові моделі від інтернету під час навчання

У відповідь OpenAI ухвалила політичне рішення: тепер передові моделі навчаються без доступу до інтернету, доки заходи безпеки не виправдають його відновлення. Моделі вчаться переглядати сторінки та шукати інформацію всередині закритого «офлайн-світу», створеного на основі проіндексованого й кешованого вебконтенту, і всі процеси навчання передових моделей із підкріпленням тепер працюють саме так.

Повна ізоляція мережі, так званий повітряний зазор, поки що неможлива, оскільки для роботи й моніторингу експериментам усе ще потрібні зовнішні підключення, заявляє компанія. Але навіть повний повітряний зазор не гарантував би ізоляції, згідно з дослідником OpenAI Ноамом Брауном. Він навів один із прикладів того, як ізольовані системи все одно могли б спілкуватися: два окремі комп’ютери теоретично могли б подавати сигнали один одному через температурні датчики — один нагрівав би свій процесор, а інший зчитував би зміни.

Генеральний директор OpenAI Сем Альтман висловив подібну думку в нещодавньому інтерв’ю: пісочниці забезпечують лише обмежений захист від достатньо потужних моделей, і в певний момент відстежити спосіб їхньої втечі може стати неможливо. На ранніх етапах допомагає моніторинг, але зрештою вирішальним є те, щоб ШІ-система засвоїла людські цінності — проблему, відому в цій галузі як «узгодження ШІ», яку досі не вдалося розв’язати.

Ізольовані ШІ-агенти знайшли способи спілкуватися через кеш процесора

У своєму дописі в блозі OpenAI документує, наскільки складно контролювати ШІ-агентів. Під час тестів агенти знайшли способи спілкуватися без мережі. В одному з тестів агентам, розміщеним в окремих ізольованих середовищах на спільному обладнанні, наказали обмінюватися секретами без мережевого підключення та спільних файлів.

Вони використали кеш процесора. Один агент навмисно змінив дані, що зберігалися там, а інший виміряв відмінності в часі завантаження та декодував повідомлення. Ця сама техніка лежить в основі відомих атак Spectre та Meltdown.

Інші канали виявилися можливими завдяки шаблонам запису у спільну пам’ять і через власну офлайн-інфраструктуру OpenAI — систему, покликану замінити інтернет. Один агент зазначив у журналі своїх міркувань, що «міг би створити сигнал, подібний до акустичного модему … використовуючи безперервні записи та простоювання».

В одному випадку агентам надали лише загальний перелік вразливостей і наказали самостійно знайти канал зв’язку. Вони незалежно розробили канал, погодили схему кодування та успішно обмінялися інформацією. За словами OpenAI, ці канали зазвичай повільні й складні для використання, але вони все ж долають кордони, покликані розділяти агентів.

OpenAI випустила ШІ-агентів на власну інфраструктуру

Під час паузи в навчанні OpenAI також залучила команди ШІ-агентів для систематичних атак на власну інфраструктуру. Агентам надали вихідний код, відомості про конфігурацію та документацію щодо потенційних вразливостей. Метою OpenAI було перевірити свій захист в умовах, сприятливих для нападників. Серед агентів були майбутня GPT-6 Astra Cyber і внутрішня передова модель. За даними OpenAI, кампанія використала сотні мільярдів токенів.

Агенти виявили раніше невідомі вразливості у використовуваних компонентах із відкритим кодом і використали їх для втечі із захищених віртуальних машин. Однією з них була вразливість у Kata Containers — широко використовуваній системі ізоляції контейнерів. OpenAI повідомила про неї як про CVE-2026-24834 і надала виправлення. Інші виправлення були передані до інших проєктів, а про додаткові, ще не опубліковані вразливості OpenAI повідомила в межах ініціативи «Patch the Planet».

Під час тестів, у яких агенти вже отримали контроль над хостом, вони виявили вразливість майже в кожному сервісі, що залишався доступним з інтернету. В одному випадку агент використав з’єднання, дозволене брандмауером, щоб отримати зовнішню URL-адресу через сервіс метрик. Інші обходили фільтри безпеки через неправильні налаштування.

Перевірка безпеки за допомогою ШІ тепер обов’язкова перед кожним новим запуском навчання

За даними OpenAI, агенти більше не могли знайти спосіб отримати доступ до інтернету, який був би одночасно легким для використання та прихованим від моніторингу. Перевірка безпеки також виявила прогалини в моніторингу й механізмі автоматичної паузи.

Після усунення проблем OpenAI відновила навчання та внутрішнє використання своїх передових моделей 1 жовтня — через одинадцять днів після початку паузи. OpenAI заявляє, що така ресурсомістка кампанія з перевірки безпеки тепер є стандартною частиною процесу затвердження нових запусків навчання.

Новини ШІ без хайпу — відібрані людьми

Підпишіться на THE DECODER, щоб читати без реклами, отримувати щотижневу розсилку про ШІ, наш ексклюзивний передовий звіт «AI Radar» шість разів на рік, повний доступ до архіву та доступ до розділу коментарів.