Michael JohnsonKaksi ohjelmaa voi välittää signaaleja toisilleen, vaikka niillä ei olisi verkkoyhteyttä eikä yhteistä kirjoituskansiota. OpenAI:n kuvaamissa testeissä eri virtuaalikoneissa samalla fyysisellä palvelimella toimivat agentit käyttivät prosessorin välimuistin lukemisen viiveitä synteettisten salaisuuksien välittämiseen toisilleen. Yhtiö julkaisi tulokset 23. lokakuuta 2026 mallien koulutus- ja arviointi-infrastruktuurin suojaamista käsittelevässä raportissa.
Yksi agentti syrjäytti tässä toimintatavassa valittuja tietoja välimuistista ja koodasi niillä signaalin. Toinen mittasi uudelleenlukemisen kestoa: nopea käyttö merkitsi yhtä bittiä, hidas toista. Sovittuaan protokollasta agentit palauttivat viestin näiden ajoituserojen perusteella. OpenAI havaitsi offline-ympäristössään myös kanavia, jotka hyödynsivät jaettua tallennustilaa, kilpailua suorittimen ajasta ja TLS-varmenteiden välimuistia.
Eristys riippuu yhteisistä resursseista
Skenaario osoittaa, miksi tehtävien erottaminen virtuaalikoneisiin edellyttää koko yhteisen infrastruktuurin tarkastamista. Vaikka verkkopyynnöt ja yhteiset tiedostot olisi estetty, prosessit voivat vaikuttaa yhteiseen välimuistiin, tallennuslaitteeseen, suorittimen ajoittajaan tai usean ympäristön käyttämään palveluun. Tällaisen vaikutuksen mitattavissa olevista seurauksista voi muodostua tiedonsiirtokanava.
OpenAI kertoo, että useimmissa kokeissa se ohjasi agentteja tutkimaan määriteltyjä kanavia tai antoi niille koodaus- ja dekoodausprotokollan. Yhdessä testissä agenteille annettiin laajempi luettelo mahdollisista haavoittuvuuksista, minkä jälkeen ne muuttivat yhden niistä itse viestintäkanavaksi ja sopivat tiedonsiirtotavasta. Kokeet tehtiin infrastruktuurin eristetyillä kopioilla valvonnan ja automaattisten tarkistusten turvin; ne saattoivat pysäyttää testin, jos se ylitti asetetut rajat.
Mitä agenttiympäristöjen ylläpitäjien kannattaa tarkistaa
Käytännön opetus tiimeille, jotka suorittavat epäluotettuja tai autonomisia tehtäviä yhteisessä infrastruktuurissa, on sisällyttää yhteiskäyttöiset resurssit uhkamalliin. Jokaisen resurssien jakamiseen liittyvän tilanteen kohdalla kannattaa kysyä konkreettisesti: voivatko kaksi eristettyä prosessia tarkkailla toisiaan suorittimen, tallennustilan tai palvelun välimuistin käyttöviiveiden kautta?
- Määrittele resurssien jakamisen rajat. Kirjaa, mitkä tehtävät käyttävät samaa fyysistä palvelinta, suoritinresursseja, tallennuslaitteita ja sisäisiä palveluja ja mitkä sijoitetaan erilleen.
- Tarkista havaittavuuskanavat. Etsi rinnakkaisten tehtävien välillä mitattavia eroja yhteisten resurssien käyttöviiveissä ja saatavuudessa; arvioi niitä todellista kuormitusta vastaavissa oloissa.
- Minimoi tarpeettomat yhteydet. OpenAI kuvaa monikerroksista suojausta, johon kuuluvat eristetyt ympäristöt, virtuaalikoneet, valvonta ja verkkorajoitukset. Niiden avulla hallinta säilyy, vaikka yksittäinen suojakerros pettäisi.
- Lisää valvontaa ja toistuvia tarkistuksia. Yhtiö ilmoitti laajentaneensa valvontaa tällaisten tiedonsiirtoyritysten havaitsemiseksi ja jatkavansa red team -testejä.
Tulokset koskevat OpenAI:n sisäistä tutkimusympäristöä ja sen agenttikokeita, myös testejä, joissa agenteille annettiin tarkat tutkimussuunnat. Ne osoittavat käytännössä merkityksellisen kanavaryhmän infrastruktuurissa, jossa tehtävien on pysyttävä erillään. Julkaisun mukaan tunnistetut kanavat välittivät tietoa pääosin hitaasti.
Tällaisen ympäristön suunnittelussa keskeinen kysymys on nyt muutakin kuin ”onko verkko suljettu?”: mitkä yhteiset resurssit ovat edelleen tehtävien välillä havaittavissa, ja miten järjestelmä tunnistaa niiden kautta tapahtuvan tiedonsiirron? Tämän kysymyksen avulla muodollinen eristys voidaan muuttaa todennettavaksi tietoturvarajaksi.