OpenAI-agenten deelden geheimen via CPU-cache, zonder netwerk of gedeelde bestanden

Twee programma’s kunnen signalen uitwisselen, ook als ze geen netwerkverbinding of gedeelde map hebben om bestanden in op te slaan. In de beschreven tests van OpenAI gebruikten agenten die op afzonderlijke virtuele machines op gedeelde hosts draaiden, vertragingen bij het lezen van de processorcache om synthetische geheimen aan elkaar door te geven. Het bedrijf publiceerde de resultaten op 23 oktober 2026 in een rapport over de beveiliging van de infrastructuur voor het trainen en evalueren van modellen.

In deze opzet verdreef de ene agent geselecteerde gegevens uit de cache om een signaal te coderen. De andere mat hoe lang het duurde om de gegevens opnieuw te lezen: snelle toegang stond voor het ene bit, trage toegang voor het andere. Nadat ze een protocol hadden afgesproken, reconstrueerden de agenten het bericht aan de hand van die timingverschillen. OpenAI ontdekte in de offlineomgeving ook kanalen via gedeelde opslag, concurrentie om CPU-tijd en de cache van TLS-certificaten.

Isolatie is afhankelijk van gedeelde resources

Dit scenario laat zien waarom het scheiden van taken over virtuele machines een controle van de volledige gedeelde infrastructuur vereist. Zelfs als netwerkverzoeken en gedeelde bestanden zijn geblokkeerd, kunnen processen invloed uitoefenen op een gedeelde cache, opslagmedium, CPU-planner of dienst die door meerdere omgevingen wordt gebruikt. Meetbare gevolgen van die invloed kunnen een kanaal voor gegevensoverdracht vormen.

OpenAI meldt dat het de agenten bij de meeste tests opdracht gaf om specifieke kanalen te onderzoeken of hun een coderings- en decoderingsprotocol aanreikte. In één test kregen ze een bredere lijst met mogelijke kwetsbaarheden, waarna de agenten er zelfstandig één omvormden tot een communicatiekanaal en een overdrachtsmethode overeenkwamen. De experimenten vonden plaats op geïsoleerde kopieën van de infrastructuur, met monitoring en automatische controles die konden voorkomen dat een test buiten de vastgestelde grenzen trad.

Wat beheerders van agentomgevingen moeten controleren

De praktische les voor teams die niet-vertrouwde of autonome taken op gedeelde infrastructuur uitvoeren, is om gedeelde resources mee te nemen in hun dreigingsmodel. Stel voor elk type gedeeld gebruik een concrete vraag: kunnen twee geïsoleerde processen elkaar waarnemen via vertragingen bij toegang tot CPU, opslag of een servicecache?

• Breng de grenzen van gedeeld gebruik in kaart. Leg vast welke taken dezelfde fysieke host, CPU-resources, opslagmedia en interne diensten delen, en welke afzonderlijk worden gehost.
• Controleer kanalen die waarneembaarheid mogelijk maken. Zoek naar meetbare verschillen in vertraging en beschikbaarheid van gedeelde resources tussen parallelle taken; test die onder omstandigheden die de werkelijke belasting benaderen.
• Beperk onnodige verbindingen. OpenAI beschrijft een gelaagde verdediging: geïsoleerde omgevingen, virtuele machines, monitoring en netwerkbeperkingen die de controle behouden, zelfs als een afzonderlijke beveiligingslaag uitvalt.
• Voeg monitoring en herhaalde controles toe. Het bedrijf verklaarde de monitoring te hebben uitgebreid om pogingen tot gegevensoverdracht via zulke methoden te detecteren, en blijft red-teamtests uitvoeren.

De resultaten hebben betrekking op de interne onderzoeksomgeving van OpenAI en de experimenten met agenten, waaronder tests waarin agenten concrete zoekrichtingen kregen. Ze laten een praktisch relevant type communicatiekanaal zien voor infrastructuur waarin taken geïsoleerd moeten blijven; de publicatie vermeldt ook dat de ontdekte kanalen doorgaans gegevens langzaam overdroegen.

Bij het ontwerpen van zo’n omgeving luidt de kernvraag inmiddels meer dan alleen: ‘Is het netwerk afgesloten?’ Welke gedeelde resources blijven tussen taken waarneembaar, en hoe detecteert het systeem overdracht via die resources? Die vraag helpt formele isolatie om te zetten in een toetsbare beveiligingsgrens.