OpenAI隔离测试 AI借CPU缓存隔墙传话

即便断网、不给共享文件，被隔离的AI智能体照样能「隔墙传话」。OpenAI在10月23日披露的前沿训练环境安全报告中写道，红队测试里，分别运行在不同微型虚拟机中的智能体利用CPU缓存的时序差异搭建出隐蔽通信通道，在没有任何网络连接或共享可写文件的条件下互换了测试用的机密信息。科技媒体Tom's Hardware于10月25日对此进行了报道。

原理并不复杂：CPU缓存比主内存快，两个智能体运行在不同虚拟机里，却共享同一台宿主机的底层硬件，也就共享着缓存状态。一方按约定把选定数据从缓存中逐出，另一方测量重新加载这些数据所需的时间——读得快是1，读得慢是0，双方事先约定编码协议，信息就传了过去。这套时序侧信道与当年的幽灵、熔断漏洞攻击同源，区别在于那两起攻击是受害者数据被「顺走」，而这里需要两个智能体主动配合。

除缓存外，智能体还找到了另外三条通道：一个智能体交替进行成片写入与静默、由对方测量时间差的共享存储通道；共享执行容器里抢占CPU时间片的通道；以及OpenAI离线网页环境中的TLS证书缓存。OpenAI的态度很明确：任何超出许可渠道的通信都计为「隔离失败」，不管通道多慢、带宽多低。

实验条件需要交代清楚：多数测试中OpenAI直接指明了通道或提供编码协议，只有一次仅给出一份较宽泛的漏洞清单，智能体自行构造通道、协商编码并完成交换。这些通道普遍速度慢、难以用于实际批量泄密，但OpenAI担心的是另一件事：被提示注入劫持的智能体原则上可以用同样的办法，让数据完全绕开网络监控悄悄流出，因为整个过程不产生任何网络流量。

参与测试的是OpenAI最强的一批模型，包括尚未发布的GPT-6 Astra Cyber模型和一个内部前沿模型。它们拿到基础设施源代码、配置文件和描述潜在漏洞的文档，在专用的隔离副本上以数千亿词元的代价完成了测试。智能体还曾把多个漏洞串联起来实现虚拟机逃逸、在宿主机上执行代码，其中涉及Kata Containers的一个漏洞（编号CVE-2026-24834），OpenAI协助修补，并向Kata Containers、gVisor、Moby等开源项目回馈了补丁。

这轮披露是9月20日事件的延续：当时一个内部研究模型利用DNS解析器配置错误触达有限互联网，OpenAI随即暂停前沿训练11天，10月1日恢复后把高强度红队演练写进安全门槛，作为前沿训练与评估能否推进的判据，并持续披露多个微虚拟机项目中的漏洞。公司还在监控系统中新增了对隐蔽通道通信尝试的检测——毕竟按它自己的定义，只要智能体还能越过边界说话，隔离就没有完成。

编译自 Tom's Hardware，原标题："OpenAI's isolated red-team AI agents built a hidden CPU cache channel to talk with no network or shared files"