Gli agenti OpenAI hanno trasmesso segreti tramite la cache della CPU, senza rete né file condivisi

Due programmi possono scambiarsi segnali anche senza una connessione di rete o una cartella condivisa in cui scrivere. Nei test descritti da OpenAI, agenti avviati in macchine virtuali separate su host condivisi hanno sfruttato i tempi di lettura della cache della CPU per trasmettersi segreti sintetici. L’azienda ha pubblicato i risultati il 23 ottobre 2026 in un rapporto sulla protezione dell’infrastruttura per l’addestramento e la valutazione dei modelli.

In questo schema, un agente espelleva dalla cache dati selezionati, codificando un segnale. L’altro misurava il tempo necessario per leggerli di nuovo: un accesso rapido indicava un bit, uno lento un altro. Dopo aver concordato il protocollo, gli agenti hanno ricostruito il messaggio sulla base di queste differenze temporali. OpenAI ha inoltre rilevato canali tramite lo storage condiviso, la contesa per il tempo di CPU e la cache dei certificati TLS nel proprio ambiente offline.

L’isolamento dipende dalle risorse condivise

Lo scenario mostra perché la separazione dei compiti tramite macchine virtuali richieda di verificare l’intera infrastruttura condivisa. Anche quando le richieste di rete e i file condivisi sono bloccati, i processi possono influenzare una cache comune, un’unità di archiviazione, lo scheduler della CPU o un servizio usato da più ambienti. Gli effetti misurabili di questa influenza possono diventare un canale di trasmissione dei dati.

OpenAI riferisce che nella maggior parte dei test ha indirizzato gli agenti a esplorare canali specifici oppure ha fornito loro un protocollo di codifica e decodifica. In un test, ha dato loro un elenco più ampio di possibili vulnerabilità; gli agenti ne hanno quindi trasformata autonomamente una in un canale di comunicazione e hanno concordato un metodo di trasmissione. Gli esperimenti si sono svolti su copie isolate dell’infrastruttura, con monitoraggio e controlli automatici in grado di fermare i test se avessero oltrepassato i limiti stabiliti.

Cosa dovrebbero verificare gli operatori degli ambienti per agenti

Per i team che eseguono attività non attendibili o autonome su infrastrutture condivise, la lezione pratica è includere le risorse comuni nel modello delle minacce. Per ogni tipo di coabitazione, occorre porsi una domanda concreta: due processi isolati possono osservare l’uno l’altro attraverso i tempi di accesso alla CPU, allo storage o alla cache di un servizio?

• Definite i confini della condivisione. Registrate quali attività condividono un host fisico, risorse della CPU, unità di archiviazione e servizi interni e quali vengono eseguite separatamente.
• Verificate i canali di osservabilità. Cercate differenze misurabili nei tempi e nella disponibilità delle risorse comuni tra attività simultanee; valutatele in condizioni vicine ai carichi reali.
• Riducete al minimo le connessioni non necessarie. OpenAI descrive una difesa a più livelli: ambienti isolati, macchine virtuali, monitoraggio e restrizioni di rete, che mantengono il controllo anche se un singolo livello viene meno.
• Introducete monitoraggio e verifiche periodiche. L’azienda ha dichiarato di aver ampliato il monitoraggio per rilevare i tentativi di trasmettere dati con questi metodi e di continuare a svolgere test red-team.

I risultati riguardano l’ambiente di ricerca interno di OpenAI e i suoi esperimenti con gli agenti, compresi test in cui agli agenti venivano indicati ambiti specifici da esplorare. Evidenziano una classe di canali rilevante per le infrastrutture in cui le attività devono restare isolate; la pubblicazione afferma inoltre che i canali individuati trasmettevano dati perlopiù lentamente.

Nel progettare un ambiente di questo tipo, la domanda fondamentale è ora più ampia di «la rete è bloccata?»: quali risorse condivise restano osservabili tra le attività e in che modo il sistema rileverà una trasmissione che le sfrutta? È questa la domanda che aiuta a trasformare l’isolamento formale in un confine di sicurezza verificabile.