ИИ-агенты OpenAI создали скрытый канал связи через процессорный кэш

В ходе контролируемой проверки защиты агенты OpenAI передали данные между изолированными микровиртуальными машинами без сети и общих файлов с возможностью записи. Один агент кодировал сообщение, вытесняя данные из процессорного кэша, а другой восстанавливал его по времени доступа к памяти.

OpenAI рассказала о результатах проверки инфраструктуры, используемой для обучения и тестирования передовых моделей. Компания поручила ИИ-агентам в отдельных микровиртуальных машинах на общем физическом сервере обменяться условными секретами без сетевого соединения и общих записываемых файлов.

Агенты организовали скрытый канал через процессорный кэш. Отправитель кодировал информацию, намеренно вытесняя выбранные данные из кэша, а получатель измерял время их повторной загрузки. Быстрый доступ означал наличие данных в кэше, медленный — необходимость чтения из оперативной памяти.

После согласования схемы кодирования и декодирования агенты смогли восстановить переданное сообщение. Такой механизм относится к атакам по сторонним каналам: различия во времени доступа к кэшу ранее применялись, в частности, при эксплуатации уязвимостей класса Spectre и Meltdown.

Эксперименты проводились в специально подготовленных копиях инфраструктуры под наблюдением специалистов. OpenAI отмечает, что большинство обнаруженных каналов имеют низкую пропускную способность и сложны в использовании, однако компания добавила средства обнаружения подобных попыток связи в системы мониторинга.