OpenAI-Agenten übermittelten Geheimnisse über den CPU-Cache – ohne Netzwerk und gemeinsame Dateien

Zwei Programme können Signale austauschen, selbst wenn sie weder eine Netzwerkverbindung noch einen gemeinsamen Ordner zum Schreiben haben. In den beschriebenen Tests von OpenAI nutzten Agenten, die in getrennten virtuellen Maschinen auf gemeinsam genutzten Hosts liefen, Verzögerungen beim Lesen des Prozessor-Caches, um einander synthetische Geheimnisse zu übermitteln. Das Unternehmen veröffentlichte die Ergebnisse am 23. Oktober 2026 in einem Bericht über den Schutz der Infrastruktur für das Training und die Evaluierung von Modellen.

Bei diesem Verfahren verdrängte ein Agent gezielt Daten aus dem Cache und kodierte damit ein Signal. Der zweite maß die Zeit für erneute Lesezugriffe: Ein schneller Zugriff stand für ein Bit, ein langsamer für ein anderes. Nachdem sie ein Protokoll vereinbart hatten, rekonstruierten die Agenten die Nachricht anhand dieser Zeitunterschiede. OpenAI entdeckte in seiner Offline-Umgebung außerdem Kanäle über gemeinsamen Speicher, Konkurrenz um CPU-Zeit und den Cache für TLS-Zertifikate.

Isolation hängt von gemeinsam genutzten Ressourcen ab

Das Szenario zeigt, warum bei der Aufteilung von Aufgaben auf virtuelle Maschinen die gesamte gemeinsam genutzte Infrastruktur überprüft werden muss. Selbst wenn Netzwerkanfragen und gemeinsame Dateien gesperrt sind, können Prozesse einen gemeinsam genutzten Cache, Speicher, CPU-Scheduler oder einen von mehreren Umgebungen genutzten Dienst beeinflussen. Messbare Folgen dieses Einflusses können zu einem Datenübertragungskanal werden.

OpenAI zufolge forderte das Unternehmen die Agenten in den meisten Tests auf, vorgegebene Kanäle zu untersuchen, oder stellte ihnen ein Kodierungs- und Dekodierungsprotokoll bereit. In einem Test erhielten sie eine umfassendere Liste möglicher Schwachstellen. Anschließend machten die Agenten selbst eine davon zu einem Kommunikationskanal und vereinbarten eine Übertragungsmethode. Die Experimente fanden auf isolierten Kopien der Infrastruktur statt, mit Überwachung und automatisierten Prüfungen, die einen Test hätten stoppen können, wenn er die festgelegten Grenzen überschritten hätte.

Was Betreiber von Agentenumgebungen prüfen sollten

Die praktische Erkenntnis für Teams, die nicht vertrauenswürdige oder autonome Aufgaben auf gemeinsam genutzter Infrastruktur ausführen, lautet: Gemeinsame Ressourcen müssen in das Bedrohungsmodell aufgenommen werden. Für jede Art der gemeinsamen Nutzung sollte eine konkrete Frage gestellt werden: Können zwei isolierte Prozesse einander über Zugriffslatenzen bei CPU, Speicher oder Service-Caches beobachten?

• Grenzen der gemeinsamen Nutzung festlegen. Dokumentieren Sie, welche Aufgaben sich einen physischen Host, CPU-Ressourcen, Speicher und interne Dienste teilen und welche getrennt untergebracht werden.
• Beobachtbare Kanäle überprüfen. Suchen Sie bei parallelen Aufgaben nach messbaren Unterschieden bei Verzögerungen und der Verfügbarkeit gemeinsamer Ressourcen; bewerten Sie sie unter Bedingungen, die der realen Auslastung nahekommen.
• Unnötige Verbindungen minimieren. OpenAI beschreibt eine mehrschichtige Verteidigung: isolierte Umgebungen, virtuelle Maschinen, Überwachung und Netzwerkbeschränkungen, die auch dann Kontrolle gewährleisten, wenn eine einzelne Schutzschicht versagt.
• Überwachung und wiederholte Prüfungen ergänzen. Das Unternehmen erklärte, die Überwachung erweitert zu haben, um Versuche zu erkennen, auf solchen Wegen Daten zu übertragen, und weiterhin Red-Team-Tests durchzuführen.

Die Ergebnisse beziehen sich auf die interne Forschungsumgebung von OpenAI und dessen Experimente mit Agenten, darunter Tests, in denen den Agenten konkrete Suchrichtungen vorgegeben wurden. Sie veranschaulichen eine praktisch relevante Klasse von Kanälen für Infrastrukturen, in denen Aufgaben isoliert bleiben sollen; laut Veröffentlichung übertrugen die entdeckten Kanäle zudem überwiegend langsam Daten.

Bei der Planung einer solchen Umgebung reicht die zentrale Frage nun weiter als „Ist das Netzwerk gesperrt?“: Welche gemeinsamen Ressourcen bleiben zwischen Aufgaben beobachtbar, und wie erkennt das System eine Übertragung über diese Ressourcen? Genau diese Frage hilft dabei, aus formaler Isolation eine überprüfbare Sicherheitsgrenze zu machen.