Michael JohnsonTvå program kan utbyta signaler även när de saknar nätverksanslutning och en gemensam mapp att skriva i. I de tester som OpenAI beskriver använde agenter som kördes i separata virtuella maskiner på delade värdar fördröjningar vid läsning från processorns cache för att överföra syntetiska hemligheter till varandra. Företaget publicerade resultaten den 23 oktober 2026 i en rapport om skyddet av infrastrukturen för träning och utvärdering av modeller.
I det här upplägget trängde den ena agenten undan utvalda data från cachen för att koda en signal. Den andra mätte tiden för en ny läsning: snabb åtkomst angav en bit, långsam åtkomst en annan. När agenterna hade enats om ett protokoll återskapade de meddelandet utifrån dessa tidsskillnader. OpenAI upptäckte också kanaler via delad lagring, konkurrens om CPU-tid och cachen för TLS-certifikat i sin offline-miljö.
Isolering beror på gemensamma resurser
Scenariot visar varför uppdelning av uppgifter mellan virtuella maskiner kräver att hela den gemensamma infrastrukturen kontrolleras. Även när nätverksförfrågningar och delade filer är blockerade kan processer påverka en gemensam cache, lagringsenhet, CPU-schemaläggare eller tjänst som används av flera miljöer. Mätbara följder av sådan påverkan kan bli en kanal för dataöverföring.
OpenAI uppger att agenterna i de flesta tester fick i uppgift att undersöka angivna kanaler eller fick ett protokoll för kodning och avkodning. I ett test fick de en bredare lista över möjliga sårbarheter. Därefter omvandlade agenterna själva en av dem till en kommunikationskanal och kom överens om en överföringsmetod. Experimenten genomfördes på isolerade kopior av infrastrukturen, med övervakning och automatiska kontroller som kunde stoppa testet om det överskred de fastställda ramarna.
Vad operatörer av agentmiljöer bör kontrollera
Den praktiska slutsatsen för team som kör opålitliga eller autonoma uppgifter på delad infrastruktur är att ta med gemensamma resurser i hotmodellen. För varje typ av samplacering bör en konkret fråga ställas: kan två isolerade processer observera varandra genom fördröjningar vid åtkomst till CPU, lagring eller tjänstecache?
- Fastställ gränserna för resursdelning. Dokumentera vilka uppgifter som delar fysisk värd, CPU-resurser, lagringsenheter och interna tjänster, och vilka som körs separat.
- Kontrollera kanaler för observerbarhet. Leta efter mätbara skillnader i fördröjning och tillgänglighet hos gemensamma resurser mellan parallella uppgifter. Utvärdera dem under förhållanden som liknar den verkliga belastningen.
- Begränsa onödiga kopplingar. OpenAI beskriver ett försvar på flera nivåer: isolerade miljöer, virtuella maskiner, övervakning och nätverksbegränsningar som bevarar kontrollen även om ett enskilt lager fallerar.
- Lägg till övervakning och återkommande kontroller. Företaget uppgav att det utökat övervakningen för att upptäcka försök att överföra data på sådana sätt och fortsätter att genomföra red-team-tester.
Resultaten gäller OpenAI:s interna forskningsmiljö och dess experiment med agenter, inklusive tester där agenterna fick specifika sökområden. De visar en praktiskt betydelsefull typ av kanaler i infrastruktur där uppgifter måste hållas isolerade. I publikationen står det också att de kanaler som upptäcktes i huvudsak överförde data långsamt.
Vid utformningen av sådana miljöer är den centrala frågan nu bredare än ”är nätverket stängt?”: vilka gemensamma resurser går fortfarande att observera mellan uppgifter, och hur upptäcker systemet överföring genom dem? Den frågan hjälper till att göra formell isolering till en säkerhetsgräns som går att kontrollera.