Agenti OpenAI předávali tajemství přes cache procesoru — bez sítě a sdílených souborů

Dva programy si mohou předávat signály, i když nemají síťové spojení ani společnou složku pro zápis. V popsaných testech OpenAI agenti spuštění v oddělených virtuálních strojích na společných hostitelích využívali prodlevy při čtení cache procesoru, aby si předali syntetická tajemství. Společnost zveřejnila výsledky 23. října 2026 ve zprávě o zabezpečení infrastruktury pro trénování a vyhodnocování modelů.

V tomto scénáři jeden agent vytlačoval z cache vybraná data a kódoval tak signál. Druhý měřil dobu jejich opětovného načtení: rychlý přístup označoval jeden bit, pomalý jiný. Po dohodnutí protokolu agenti zprávu z těchto časových rozdílů rekonstruovali. OpenAI také ve svém offline prostředí odhalila kanály využívající sdílené úložiště, soupeření o čas CPU a cache TLS certifikátů.

Izolace závisí na sdílených prostředcích

Tento scénář ukazuje, proč je při oddělování úloh pomocí virtuálních strojů nutné prověřit celou sdílenou infrastrukturu. I když jsou síťové požadavky a sdílené soubory zablokované, procesy mohou ovlivňovat společnou cache, úložiště, plánovač CPU nebo službu využívanou několika prostředími. Měřitelné důsledky tohoto vlivu se mohou stát kanálem pro přenos dat.

OpenAI uvádí, že ve většině testů zadala agentům zkoumání konkrétních kanálů nebo jim poskytla protokol pro kódování a dekódování. V jednom testu dostali širší seznam možných zranitelností a poté sami proměnili jednu z nich v komunikační kanál a dohodli se na způsobu přenosu. Experimenty probíhaly na izolovaných kopiích infrastruktury s monitorováním a automatickými kontrolami, které mohly zastavit test, pokud by překročil stanovené meze.

Co by měli provozovatelé agentních prostředí ověřit

Praktickým poučením pro týmy, které na sdílené infrastruktuře spouštějí nedůvěryhodné nebo autonomní úlohy, je zahrnout sdílené prostředky do modelu hrozeb. U každého typu souběžného provozu je třeba položit konkrétní otázku: mohou se dva izolované procesy navzájem pozorovat prostřednictvím prodlev při přístupu k CPU, úložišti nebo cache služby?

• Určete hranice sdílení. Zaznamenejte, které úlohy sdílejí fyzický hostitel, prostředky CPU, úložiště a interní služby a které jsou umístěné odděleně.
• Prověřte kanály pozorovatelnosti. Hledejte měřitelné rozdíly v prodlevách a dostupnosti sdílených prostředků mezi souběžnými úlohami; vyhodnocujte je v podmínkách blízkých skutečnému zatížení.
• Omezte nepotřebná propojení. OpenAI popisuje vícevrstvou ochranu: izolovaná prostředí, virtuální stroje, monitorování a síťová omezení, která zachovávají kontrolu i při selhání jednotlivé vrstvy.
• Zaveďte monitorování a opakované testy. Společnost uvedla, že rozšířila monitorování, aby odhalovala pokusy o přenos dat těmito způsoby, a pokračuje v red-teamových testech.

Výsledky se vztahují na interní výzkumné prostředí OpenAI a její experimenty s agenty, včetně testů, při nichž agenti dostali konkrétní směry hledání. Poukazují na prakticky významnou skupinu kanálů v infrastruktuře, kde úlohy musí zůstat izolované; publikace rovněž uvádí, že zjištěné kanály přenášely data převážně pomalu.

Při navrhování takového prostředí je nyní klíčová širší otázka než „je síť uzavřená?“: které sdílené prostředky zůstávají mezi úlohami pozorovatelné a jak systém odhalí přenos, který je využívá? Právě tato otázka pomáhá proměnit formální izolaci v ověřitelnou bezpečnostní hranici.