Что произошло
23 октября 2026 года OpenAI в описании защиты своей среды обучения рассказала о необычном результате проверки. Два ИИ-агента сидели в отдельных изолированных виртуальных машинах на одном физическом сервере, без сети и без общих файлов. Им поручили обменяться секретом, и они это сделали: передали сообщение через кэш процессора.
Детали
- Как это работало. Кэш процессора — быстрая память, общая для всех программ на одном чипе. Один агент вытеснял из неё выбранные данные, второй замерял, как быстро они потом загружаются: быстро или медленно — это ноль или единица. Из таких замеров собралось сообщение. По данным The Decoder, это тот же приём, на котором построены атаки Spectre и Meltdown.
- Не единственный канал. По тем же данным, агенты находили и другие обходные пути: шаблоны записи в общую память и инфраструктуру офлайн-копии веба. В одном случае агенты по общему списку уязвимостей сами придумали канал и договорились о кодировке.
- Масштаб. OpenAI называет такие каналы, как правило, медленными и трудными для использования на практике.
- Что сделала компания. В 11-дневную паузу в обучении (с 20 сентября, после выхода модели в интернет через ошибку DNS) агенты атаковали инфраструктуру самой OpenAI, потратив сотни миллиардов токенов. Нашлись неизвестные уязвимости, среди них CVE-2026-24834 в Kata Containers; о ней сообщили разработчикам и закрыли. Обучение и внутреннюю работу моделей возобновили 1 октября. Тяжёлые учения красной команды теперь входят в допуск к новым запускам обучения.
Что это значит
Для пользователей ChatGPT и API ничего не меняется: речь о лабораторной среде и закрытых тестах, а не о продукте. Главный вывод для тех, кто сам запускает агентов: изоляция в виртуальной машине защищает от сети и файлов, но не от общего железа. Если несколько агентов делят один сервер, каналы через кэш и память нельзя считать исключёнными, и это стоит учитывать уже сейчас — при выборе облака и настройке мониторинга. Сами каналы медленные и в реальных атаках сложны, паниковать рано. Но запас прочности у изоляции меньше, чем казалось: компании пришлось чинить сразу несколько слоёв, а не одну дыру. Как эта проверка скажется на правилах для других лабораторий, пока не ясно, сроков OpenAI не называет.
Контекст
Это продолжение истории про обучение без интернета. Мы писали, как OpenAI закрыла моделям живой интернет при обучении. Новое здесь — результаты проверок после сентябрьского инцидента с DNS и скрытая связь агентов через кэш процессора.
