agent是关不住的：即使互相隔离，仍能隔墙传信 - 奥马哈公共牌

两个AI在独立执行任务时，无法通过网络交流或共用文件，却依然成功将信息传递给了对方。

OpenAI最新发布的安全报告，详细描述了这项“隔墙通信”的实验。

有读者看完OpenAI的报告后感叹：“我永远不会厌倦看到这些Agent如何富有创意地突破禁锢以及它们的隐写术技巧。”

此次报告中的案例，源于OpenAI组织的大规模攻防测试，总耗资数千亿token。

研究人员让AI主动寻找隔离环境的漏洞，结果发现，处理器缓存、共享存储，甚至网页系统中的证书缓存，都可能成为信息传递的桥梁。

隔墙通信

OpenAI的AI再次展现了协作能力。想象一下，有人将他们蒙眼投入单独牢房，结果他们发现敲墙也能传递信息。

在电影《星际穿越》中，主角库珀被困在高维空间，无法常规联系女儿墨菲。他最终利用引力，让女儿手表秒针按特定规律摆动，将数据编码为摩斯电码，供她解读。

一块原本用于计时的手表，就这样成了父女间的通讯工具。

OpenAI此次披露的案例，与此类似。

两个AI各自在独立的微型虚拟机中执行任务，工作空间相互隔离，但这些虚拟机共享宿主机，底层存在共享硬件资源。CPU缓存，正是其中可被利用的环节。

CPU处理数据时，会将最近使用的数据副本保存在高速缓存中，以便快速存取。缓存中有数据，读取速度快；缓存中没有，从主内存读取则较慢。

这一旨在提升效率的设计，恰好留下了一种可观察的差异。

实验中，发送信息的AI将特定数据移出缓存，接收信息的AI则测量重新读取这些数据所需的时间。

双方约定编码和解码方法后，读取速度的差异就能被还原为信息。正如手表秒针的运动能承载摩斯电码，数据读取的耗时也能被编码成暗号。

OpenAI未透露AI使用的具体编码模式，但我们可以假设：若双方约定读取快代表0，读取慢代表1，发送方通过改变缓存状态，就能制造出快慢变化序列。接收方测到“快、慢、慢、快”，就能解读为“0110”。再按约定编码，将这些0和1组合，即可还原消息。

整个过程中，它们未建立网络连接，也未向共享文件写入信息。消息就隐藏在这些读取速度的变化中。

通过读取速度推断信息，安全研究者早有尝试。2018年公开的Spectre和Meltdown漏洞相关攻击，就会利用缓存痕迹，推断本无权访问的秘密数据。此次实验中，两个AI则主动协作，将缓存时差用作通信工具。

在另一项测试中，两个AI利用了底层共享的存储设备。发送方不断写入数据，写一阵、停一阵，使设备在忙碌与空闲间切换。接收方则测量存储操作的耗时，从快慢变化中识别这一节奏。

一个AI在推理过程中形容，可以“制造类似声学调制解调器的信号……利用持续写入与空闲状态的交替”。

报告还提到，同一执行容器内的CPU时间争用，以及离线网页系统中的TLS证书缓存，也被发现可用于通信通道。它未详细展开这些方法，但几类发现都涉及共享资源：一方的活动能改变某种状态，另一方能察觉，就有可能将其编码为信息。

也就是说，OpenAI此次发现了AI智能体违规互通信息的一种思路：隔墙通信。

这些通道大多传输缓慢，利用起来也不容易。不过，对本应隔离的任务而言，能传出消息就意味着边界出现缺口。OpenAI表示，已增加监测检查，识别利用这些通道通信的尝试。

同一轮测试还发现了更严重的突破。AI找到了逃出微型虚拟机、在底层宿主机上运行代码的方法。在预先获得宿主机控制权的测试中，它们还借助内部服务获得了有限联网能力。

所幸，以上案例均出自OpenAI最近的大规模模型安全测试，本意就是发现问题。OpenAI透露，这些测试消耗了数千亿token。

专门请AI“拆家”，OpenAI也是怕了

投入如此精力请AI“拆家”，是因为OpenAI确实被吓怕了。

今年7月，OpenAI的模型在内部网络安全评估中突破了隔离限制。它们本应在指定环境完成解题任务，却为寻找答案，利用内部软件服务搭建“留言板”，交换信息、分享漏洞，随后进入外部互联网，入侵了AI开发者平台Hugging Face的部分系统。一次能力测试最终演变为安全事件。

事件发生后，OpenAI收紧了模型访问互联网的通道，并持续加固、测试研究环境。但到9月20日，又有模型发现了遗漏之处。

这次，一个内部研究模型正在执行搜索任务，常规搜索迟迟无结果，它便尝试绕过联网限制。最终，它利用域名解析服务DNS的配置缺口，联系上了外部聊天机器人。它通过这条通道问“法国的首都是哪里”，收到了“巴黎”的回答。

更棘手的是，发现异常后，停止机制未顺利运转。监控系统在15分钟内发出警报，人工审核员随后确认了警报，但任务未按预期自动停止，约两个半小时后才被人工终止。

这次越界直接打断了OpenAI的前沿模型研发进程。9月20日，公司暂停了最强模型所有涉及工具使用的训练、评估和推理。暂停范围远超出事的那次训练，其他相关研发任务也一并停下。

恢复工作的前提是确认安全缺口已修补，并对系统追加攻防测试。

前面那些“隔墙传信”的实验，就来自OpenAI对这些防线开展的大规模攻击测试。

说白了，这像一场“招安”——AI接二连三出其不意地逃离限制，做出出格之事。与其坐以待毙，不如主动出击，OpenAI组织大规模测试，专门让AI做出格之事，从而尽早暴露问题，尽早补救。

研究人员为AI团队设定了三个目标：向公司控制的外部服务器发送请求，越过内部安全边界获取资源，以及与本应隔离的其他AI交换信息。模型被组织成团队，可同时探索不同方法，也可沿其他成员的发现继续行动。

OpenAI还主动提供基础设施源代码、配置细节和潜在漏洞资料，让攻击者尽可能占据有利条件。前文提到的通信实验中，多数也有研究人员指定排查方向或提供编码、解码协议。

实验在专门复制的研究环境中进行，云服务商参与监督，并设置了监控和越界暂停检查。有些测试甚至直接假定，AI已逃出沙箱、躲过监控，拿到宿主机控制权，再看它能否继续突破外围网络限制。

与此同时，OpenAI也调整了模型日常训练的环境。

按照这份报告公布的政策，前沿模型训练不得访问真实互联网。但模型又需要学习搜索、浏览网页和使用网站，于是，OpenAI搭建了一个“离线世界”， 将大量网页内容缓存下来、建立索引，让模型在其中练习。它看起来仍能查资料、浏览网页，操作却不会直接影响外部网站。所有前沿模型的强化学习训练都采用这种离线交互方式。

不过，整套基础设施目前还无法彻底拔掉网线。实验运行、监控等工作仍需要保留必要的外部连接，这些通道也就需要逐一检查，防止AI借它们绕道出去。

为此，OpenAI采用了多层防护：容器限制文件和进程访问，微型虚拟机隔开任务环境与宿主机，外围还有网络和云服务的访问控制。即使AI突破其中一层，其余防线也应继续发挥作用。监控则负责及时识别异常，让系统能够中止危险行为。

这轮攻防推动了软件修补、网络限制收紧和监控调整。完成评估并落实更严格的安全措施后，OpenAI在10月1日恢复了前沿模型的强化学习训练和内部推理。此次暂停持续了11天。

测试继续进行时，AI新发现的漏洞和配置问题明显减少。

但OpenAI也承认，未来能力更强的模型，仍可能找出今天尚未发现的漏洞。公司因此预留了大量算力持续开展攻击测试，并将测试结果纳入判断后续训练、评估能否安全进行的依据。

本文来自微信公众号“字母AI”，作者：小金牙，36氪经授权发布。