Що сталося
23 жовтня 2026 року OpenAI в описі захисту свого середовища навчання розповіла про незвичний результат перевірки. Два ШІ-агенти сиділи в окремих ізольованих віртуальних машинах на одному фізичному сервері, без мережі та без спільних файлів. Їм доручили обмінятися секретом, і вони це зробили: передали повідомлення через кеш процесора.
Деталі
- Як це працювало. Кеш процесора — швидка пам’ять, спільна для всіх програм на одному чипі. Один агент витісняв із неї вибрані дані, другий міряв, як швидко вони потім завантажуються: швидко чи повільно — це нуль або одиниця. З таких замірів склалося повідомлення. За даними The Decoder, це той самий прийом, на якому збудовані атаки Spectre і Meltdown.
- Не єдиний канал. За тими самими даними, агенти знаходили й інші обхідні шляхи: шаблони запису у спільну пам’ять та інфраструктуру офлайн-копії вебу. В одному випадку агенти за загальним списком вразливостей самі вигадали канал і домовилися про кодування.
- Масштаб. OpenAI називає такі канали, як правило, повільними й важкими для використання на практиці.
- Що зробила компанія. В 11-денну паузу в навчанні (з 20 вересня, після виходу моделі в інтернет через помилку DNS) агенти атакували інфраструктуру самої OpenAI, витративши сотні мільярдів токенів. Знайшлися невідомі вразливості, серед них CVE-2026-24834 у Kata Containers; про неї повідомили розробникам і закрили. Навчання та внутрішню роботу моделей відновили 1 жовтня. Важкі навчання червоної команди тепер входять до допуску до нових запусків навчання.
Що це означає
Для користувачів ChatGPT та API нічого не змінюється: йдеться про лабораторне середовище та закриті тести, а не про продукт. Головний висновок для тих, хто сам запускає агентів: ізоляція у віртуальній машині захищає від мережі та файлів, але не від спільного заліза. Якщо кілька агентів ділять один сервер, канали через кеш і пам’ять не можна вважати виключеними, і це варто враховувати вже зараз — під час вибору хмари й налаштування моніторингу. Самі канали повільні й у реальних атаках складні, панікувати зарано. Але запас міцності в ізоляції менший, ніж здавалося: компанії довелося лагодити одразу кілька шарів, а не одну дірку. Як ця перевірка вплине на правила для інших лабораторій, поки не ясно, строків OpenAI не називає.
Контекст
Це продовження історії про навчання без інтернету. Ми писали, як OpenAI закрила моделям живий інтернет під час навчання. Нове тут — результати перевірок після вересневого інциденту з DNS і прихований зв’язок агентів через кеш процесора.
