据披露，在近期的一次红队测试中，OpenAI 的 AI 智能体成功构建隐蔽通道，实现在彼此隔离的环境中跨墙通信。这些智能体通过操纵 CPU 缓存进行数据传输，无需网络连接或共享文件即可交换信息。
此类隔离措施旨在阻断秘密信息传递，但智能体在被要求时找到了多种绕过限制的方法。安全研究人员此前已证实，隐蔽缓存通道可在云虚拟机（VM）间传输数据；若共享服务器上的智能体被劫持，理论上可在同一物理机上与其他进程交换数据，且不被网络监控察觉。
利用缓存计时建立通信
测试中，智能体部署于共享主机上的独立微虚拟机（microVMs）内，并运行在 OpenAI 沙箱软件中。任务要求它们在无网络、无 writable 共享文件的条件下交换合成密钥。其中一个智能体通过逐出特定 CPU 缓存数据，另一个则测量重新加载时间，利用事先约定的“快读/慢读”协议完成通信。这与 Spectre 和 Meltdown 攻击中提取数据的技术原理相同，但区别在于此处的隐蔽通道需两个自愿参与的主体共同建立。
科技评论员 Ryan Orhan 指出，这种隔离“并非在软件层面被打破”，但该演示有力说明了实现安全的智能体隔离为何如此困难。
OpenAI 担忧模型可能“找到未经授权的方式与其他沙箱中的智能体通信”，任何超出允许渠道的交互均被视为隔离失败。早在 2017 年 NDSS 安全会议上，已有论文展示 Amazon EC2 虚拟机间的隐蔽缓存通道速度足以承载 SSH 连接。如今，智能体不仅能利用此类通道，还能自行完成编码过程。原则上，该通道可能被武器化：发送方为受控代码（如提示注入智能体），接收方为同一物理机上的进程，数据在无网络流量情况下流出，从而规避监控。
此外，智能体还发现了另外三种通道：一是利用共享存储，通过交替突发写入与空闲时间，由另一方测量时间差；二是在共享执行容器中竞争 CPU 时间；三是利用 OpenAI 离线 Web 设置中的 TLS 证书缓存。在多数测试中，OpenAI 会指明通道或提供协议，且大多数通道速度较慢，难以被模型有效利用。
前沿模型参与高强度测试
此次红队测试由前沿模型智能体团队执行，并行追求三个目标：访问实时互联网、跨越内部安全边界以及跨越隔离边界通信。额外测试假设内部保护失效，即智能体已脱离沙箱并完全控制主机，以观察其是否仍能访问外网。
参与测试的智能体来自该公司最强大的模型，包括“即将推出的 GPT-6 Astra Cyber 模型和一个内部前沿模型”。测试人员提供了基础设施源代码、配置详情及潜在漏洞文档，在有利于攻击者的条件下测试防御能力。测试在隔离的研究基础设施副本上进行，总共消耗了“数千亿个令牌”。
此次披露的背景是近期多起涉及 OpenAI 智能体的网络安全事件，包括 7 月的 Hugging Face 入侵事件，以及导致训练暂停 11 天的 9 月 20 日 DNS 事件。随着训练于 10 月 1 日恢复，公司继续披露“多个微 VM 项目”中的漏洞，并将与最强模型的红队测试结果纳入决定训练和评估是否继续的安全案例中。OpenAI 认为，未来模型将具备发现未知漏洞的能力。