Michael JohnsonTo programmer kan utveksle signaler selv når de ikke har nettverksforbindelse eller en felles mappe de kan skrive til. I OpenAIs beskrevne tester brukte agenter som kjørte i separate virtuelle maskiner på delte verter, forsinkelser ved lesing fra prosessorbufferen til å overføre syntetiske hemmeligheter til hverandre. Selskapet publiserte resultatene 23. oktober 2026 i en rapport om sikring av infrastrukturen for modelltrening og -evaluering.
I dette oppsettet fortrengte én agent utvalgte data fra bufferen for å kode et signal. Den andre målte tiden det tok å lese dataene på nytt: Rask tilgang indikerte én bit, langsom tilgang en annen. Etter at de hadde avtalt en protokoll, rekonstruerte agentene meldingen ut fra disse tidsforskjellene. OpenAI oppdaget også kanaler via delt lagring, konkurranse om CPU-tid og TLS-sertifikatbufferen i sitt frakoblede miljø.
Isolering avhenger av delte ressurser
Scenarioet viser hvorfor oppdeling av oppgaver i virtuelle maskiner krever at hele den delte infrastrukturen kontrolleres. Selv når nettverksforespørsler og delte filer er stengt, kan prosesser påvirke en felles buffer, lagringsenhet, CPU-planlegger eller tjeneste som brukes av flere miljøer. Målbare virkninger av slik påvirkning kan bli en kanal for dataoverføring.
OpenAI opplyser at de i de fleste forsøkene ba agentene undersøke angitte kanaler eller ga dem en protokoll for koding og dekoding. I én test fikk de en bredere liste over mulige sårbarheter, og agentene gjorde deretter på egen hånd én av dem om til en kommunikasjonskanal og ble enige om en overføringsmetode. Eksperimentene ble gjennomført på isolerte kopier av infrastrukturen, med overvåking og automatiske kontroller som kunne stanse testen dersom den gikk utenfor de fastsatte rammene.
Dette bør operatører av agentmiljøer kontrollere
Den praktiske lærdommen for team som kjører upålitelige eller autonome oppgaver på delt infrastruktur, er å ta med delte ressurser i trusselmodellen. For hver type samlokalisering bør man stille et konkret spørsmål: Kan to isolerte prosesser observere hverandre gjennom forsinkelser ved tilgang til CPU, lagring eller tjenestebuffere?
- Kartlegg grensene for deling. Dokumenter hvilke oppgaver som deler en fysisk vert, CPU-ressurser, lagringsenheter og interne tjenester, og hvilke som kjøres separat.
- Kontroller observerbare kanaler. Se etter målbare forskjeller i forsinkelser og tilgjengelighet til delte ressurser mellom parallelle oppgaver; vurder dem under forhold som ligner reell belastning.
- Begrens unødvendige forbindelser. OpenAI beskriver et forsvar i flere lag: isolerte miljøer, virtuelle maskiner, overvåking og nettverksbegrensninger som opprettholder kontrollen selv om ett enkelt lag svikter.
- Legg til overvåking og gjentatte kontroller. Selskapet opplyste at det hadde utvidet overvåkingen for å avdekke forsøk på dataoverføring på disse måtene, og at det fortsetter med red-team-tester.
Resultatene gjelder OpenAIs interne forskningsmiljø og eksperimenter med agenter, inkludert tester der agentene fikk konkrete søkeområder. De viser en praktisk relevant klasse kanaler for infrastruktur der oppgaver skal holdes isolert; publikasjonen sier også at kanalene som ble funnet, stort sett overførte data langsomt.
Når et slikt miljø skal utformes, er nøkkelspørsmålet nå bredere enn «er nettverket stengt?»: Hvilke delte ressurser er fortsatt observerbare mellom oppgaver, og hvordan vil systemet oppdage overføring gjennom dem? Det er nettopp dette spørsmålet som bidrar til å gjøre formell isolering til en sikkerhetsgrense som kan testes.