Agenci OpenAI przekazywali sekrety przez pamięć podręczną procesora — bez sieci i wspólnych plików

Dwa programy mogą wymieniać sygnały, nawet jeśli nie mają połączenia sieciowego ani wspólnego folderu do zapisu. W opisanych przez OpenAI testach agenci uruchomieni na oddzielnych maszynach wirtualnych, ale na wspólnych hostach, wykorzystywali opóźnienia odczytu pamięci podręcznej procesora, aby przekazać sobie syntetyczne sekrety. Firma opublikowała wyniki 23 października 2026 roku w raporcie poświęconym zabezpieczeniu infrastruktury trenowania i ewaluacji modeli.

W tym schemacie jeden agent usuwał wybrane dane z pamięci podręcznej, kodując sygnał. Drugi mierzył czas ponownego odczytu: szybki dostęp oznaczał jeden bit, a wolny — drugi. Po uzgodnieniu protokołu agenci odtworzyli wiadomość na podstawie tych różnic czasowych. OpenAI wykryło również kanały wykorzystujące współdzielony magazyn danych, rywalizację o czas CPU oraz pamięć podręczną certyfikatów TLS w swoim środowisku offline.

Izolacja zależy od współdzielonych zasobów

Ten scenariusz pokazuje, dlaczego podział zadań między maszyny wirtualne wymaga sprawdzenia całej współdzielonej infrastruktury. Nawet gdy żądania sieciowe i wspólne pliki są zablokowane, procesy mogą wpływać na wspólną pamięć podręczną, dysk, harmonogramistę CPU lub usługę używaną przez kilka środowisk. Mierzalne skutki takiego wpływu mogą stać się kanałem przesyłania danych.

OpenAI informuje, że w większości testów kierowała agentów na badanie określonych kanałów lub udostępniała im protokół kodowania i dekodowania. W jednym teście otrzymali oni szerszą listę potencjalnych luk, po czym sami przekształcili jedną z nich w kanał komunikacji i uzgodnili metodę przesyłania. Eksperymenty przeprowadzono na odizolowanych kopiach infrastruktury, z monitoringiem i automatycznymi kontrolami, które mogły zatrzymać test, gdyby wykroczył poza ustalone granice.

Co powinni sprawdzić operatorzy środowisk agentowych

Praktyczny wniosek dla zespołów uruchamiających niezaufane lub autonomiczne zadania we współdzielonej infrastrukturze jest taki, by uwzględniać wspólne zasoby w modelu zagrożeń. Dla każdego rodzaju współdzielenia warto zadać konkretne pytanie: czy dwa odizolowane procesy mogą obserwować się nawzajem przez opóźnienia dostępu do CPU, magazynu danych lub pamięci podręcznej usługi?

• Określ granice współdzielenia. Ustal, które zadania korzystają z tego samego fizycznego hosta, zasobów CPU, dysków i usług wewnętrznych, a które są uruchamiane osobno.
• Sprawdź kanały obserwowalności. Szukaj mierzalnych różnic w opóźnieniach i dostępności wspólnych zasobów między równoległymi zadaniami; oceniaj je w warunkach zbliżonych do rzeczywistego obciążenia.
• Ogranicz niepotrzebne połączenia. OpenAI opisuje ochronę warstwową: odizolowane środowiska, maszyny wirtualne, monitoring i ograniczenia sieciowe, które utrzymują kontrolę nawet w razie awarii pojedynczej warstwy.
• Wprowadź monitoring i ponawiaj testy. Firma poinformowała, że rozszerzyła monitoring, aby wykrywać próby przesyłania danych takimi metodami, i nadal prowadzi testy red-team.

Wyniki dotyczą wewnętrznego środowiska badawczego OpenAI i eksperymentów z agentami, w tym testów, w których wskazywano agentom konkretne kierunki poszukiwań. Pokazują praktycznie istotną klasę kanałów dla infrastruktury, w której zadania muszą pozostać odizolowane; publikacja podaje również, że wykryte kanały przesyłały dane przeważnie powoli.

Przy projektowaniu takiego środowiska kluczowe pytanie wykracza teraz poza „czy sieć jest zamknięta?”: które wspólne zasoby pozostają widoczne między zadaniami i jak system wykryje przesyłanie danych za ich pośrednictwem? To pytanie pomaga przekształcić formalną izolację w możliwą do zweryfikowania granicę bezpieczeństwa.