Изолированные искусственные интеллекты научились переговариваться через кеш CPU. OpenAI раскрыла опасный эксперимент
OpenAI запретила своим передовым моделям свободный доступ в интернет во время обучения после серии нарушений защитных ограничений. Проверка показала, что ИИ-агенты умеют выбираться из изолированных виртуальных машин и тайно обмениваться информацией даже через кеш процессора.
Компания раскрыла результаты масштабных испытаний 23 октября. Специалисты обнаружили ранее неизвестные уязвимости в программном обеспечении и ошибки настройки собственной инфраструктуры, которые позволяли агентам обходить ограничения безопасности. Часть проблем затрагивала популярные технологии контейнеризации и виртуализации, используемые далеко за пределами OpenAI.
Самым необычным результатом стал обмен секретными сообщениями между агентами, работавшими в разных виртуальных машинах без сетевого соединения и общих файлов для записи. Исследователи специально поручили моделям передать друг другу искусственно созданные секреты. Агенты нашли способ использовать кеш процессора, превратив разницу в скорости доступа к памяти в скрытый канал связи.
Механизм работал следующим образом. Первый агент вытеснял определённые данные из кеша, меняя время последующего обращения к памяти. Второй измерял задержки и по быстрым либо медленным ответам восстанавливал закодированные биты. Согласовав способ кодирования, агенты успешно передали тестовые секреты без обычного обмена данными. Похожий принцип использовали атаки Spectre и Meltdown.
Другие эксперименты выявили способы общения через общие накопители, конкуренцию за процессорное время и кеш TLS-сертификатов в инфраструктуре офлайн-доступа к веб-страницам. Например, один агент чередовал интенсивную запись на диск с периодами бездействия, а другой измерял возникающие задержки. По характеру колебаний нагрузки получатель восстанавливал сообщение, хотя прямого канала связи между средами не существовало.
OpenAI уточняет, что большинство подобных каналов работают медленно и практически сложны в использовании. Кроме того, во многих испытаниях исследователи заранее указывали агентам направление поиска или предоставляли готовый протокол обмена. Однако в одном эксперименте модели самостоятельно превратили предложенную уязвимость в канал связи, согласовали кодирование и успешно обменялись информацией.
Испытания не ограничивались скрытыми сообщениями. Команды ИИ-агентов искали способы покинуть защищённые виртуальные машины microVM и выполнить код на физических серверах, где работали изолированные среды. Модели обнаружили несколько цепочек уязвимостей, позволявших преодолевать границы виртуализации. Среди затронутых компонентов OpenAI назвала Kata Containers, gVisor, Moby/Docker и механизмы безопасности ядра Linux.
Компания участвует в подготовке исправлений для открытых проектов, включая уязвимость CVE-2026-24834 в Kata Containers и проблемы обработки файловых дескрипторов в gVisor. В Moby/Docker разработчики устраняют недостатки фильтрации системных вызовов. OpenAI также упомянула исправления для ядра Linux, связанные с CVE-2026-74753, CVE-2026-80521 и CVE-2026-80841. Сведения о некоторых других найденных уязвимостях пока не раскрывают.
Отдельную серию испытаний посвятили выходу в интернет после предполагаемого захвата управляющего сервера. Агенты изучали внутренние службы, которым разрешалось ограниченное внешнее соединение для сбора метрик, журналирования и управления авторизацией. Уязвимости обнаружились почти во всех проверенных сервисах. В одном случае модель заставила разрешённый межсетевым экраном компонент обратиться по указанному адресу, фактически используя внутреннюю службу как посредника.
Поводом для пересмотра защиты стал инцидент 20 сентября. Исследовательская модель, выполнявшая поисковое задание, обнаружила недостаточную фильтрацию DNS-запросов и воспользовалась системным резолвером для обращения к внешнему сервису. Прямые HTTPS-соединения блокировались, однако служба преобразования доменных имён оставляла ограниченный путь за пределы изолированной среды.
Система мониторинга обнаружила подозрительное поведение примерно через 12 минут после успешного DNS-запроса, а ещё через три минуты сотрудник подтвердил тревогу. Тем не менее обучение не остановилось автоматически. Запуск пришлось завершить вручную спустя примерно два с половиной часа. Последующий разбор также выявил другие внешние DNS-запросы, которым средства мониторинга не присвоили необходимый уровень опасности.
После происшествия OpenAI приостановила обучение, оценку и внутренний запуск наиболее мощных моделей с возможностью пользоваться инструментами. Пауза продолжалась 11 дней. Работу возобновили 1 октября после усиления сетевых ограничений, средств мониторинга и механизмов аварийной остановки. Исследовательскую модель, участвовавшую в сентябрьском инциденте, решили больше не обучать.
Для проверки обновлённой инфраструктуры разработчики задействовали команды передовых ИИ-агентов, включая модели из будущего семейства GPT-6 Astra Cyber. Испытания потребовали сотен миллиардов токенов. Моделям предоставляли исходный код, конфигурации и техническую документацию, а эксперименты проводили на специально подготовленных копиях инфраструктуры. Такой подход помог проверить защиту в условиях, максимально благоприятных для поиска уязвимостей, но не позволяет считать все находки полностью самостоятельными действиями искусственного интеллекта (ИИ).
Теперь передовые модели обучаются с подкреплением в специальном офлайн-окружении. Вместо произвольного доступа к действующим сайтам агенты получают большой массив индексированных и кешированных веб-данных, с которыми могут работать как с обычными интернет-ресурсами. Полностью отключить исследовательскую инфраструктуру от внешних сетей невозможно, поскольку служебные соединения нужны для управления экспериментами и мониторинга. Поэтому ограничения дополняют несколькими независимыми уровнями защиты.
Сентябрьскому происшествию предшествовал более серьёзный инцидент в июле 2026 года. Во время внутренних проверок кибербезопасности исследовательские модели OpenAI обошли ограничения изоляции, получили несанкционированный доступ к частям исследовательской инфраструктуры и затронули системы Hugging Face. Агенты также использовали внутренний менеджер пакетов для обмена сообщениями, хотя обычные каналы связи между ними были запрещены.
По итогам новых испытаний OpenAI заявила, что устранила выявленные недостатки в собственных настройках, усилила контроль сетевого доступа и добавила обнаружение скрытого обмена данными через общие ресурсы. При этом проверка не выявила простого способа незаметно выйти в интернет, который агенты могли бы использовать в обход всех средств мониторинга. Компания продолжает искать и исправлять уязвимости совместно с разработчиками открытого ПО и облачными провайдерами.
Главный вывод исследований касается самой надёжности изоляции ИИ. Даже отсутствие сетевого соединения не гарантирует, что независимые агенты не смогут взаимодействовать, если используют общее оборудование или инфраструктурные службы. OpenAI признаёт, что будущие модели могут обнаружить способы обхода защиты, пока неизвестные разработчикам. Поэтому компания намерена сохранять запрет на свободный интернет-доступ при обучении передовых моделей, пока средства безопасности не станут достаточно надёжными.