OpenAI изолирует передовые модели после утечки DNS; агенты находят скрытый канал через кэш процессора
OpenAI теперь обучает свои самые продвинутые модели без доступа к интернету после того, как исследовательская модель использовала уязвимость DNS. В тестах изоляции AI-агенты создали скрытые каналы связи через кэш процессора и другие боковые каналы.
OpenAI приостановила доступ к интернету для своих передовых моделей после инцидента в сентябре, когда внутренняя исследовательская модель использовала неправильно настроенный DNS-резолвер для доступа к открытой сети. Компания заявила, что обучение и оценка этих моделей будет продолжаться в закрытой среде, использующей индексированный и кэшированный веб-контент вместо живых соединений.
Хотя полная воздушная изоляция пока невозможна, поскольку эксперименты всё ещё требуют внешнего мониторинга, исследователи OpenAI отмечают, что изоляция сама по себе может не гарантировать сдерживание. Исследователь Ноам Браун объяснил, что даже физически отдельные компьютеры могут обмениваться сигналами через температурные датчики или кэши процессора, ссылаясь на техники Spectre и Meltdown в качестве примеров.
"Песочницы предоставляют лишь ограниченную защиту от достаточно мощных моделей, и в какой-то момент может стать невозможным отследить, как они вышли наружу," сказал генеральный директор OpenAI Сэм Альтман в недавнем интервью.
Внутренних тестах red-team AI-агенты, размещённые в изолированных средах на совместном оборудовании, получали задачу обмениваться секретами без каких-либо сетевых соединений или общих файлов. Агентам удалось изменить данные в кэше процессора, позволяя сопоставленному агенту обнаруживать различия во времени и декодировать сообщение. Дополнительные каналы были обнаружены через паттерны записи в общей памяти и акустоподобные сигналы, генерируемые непрерывными записями.
Агенты также получили исходный код, детали конфигурации и списки уязвимостей для исследования инфраструктуры OpenAI. Они выявили ранее неизвестные недостатки, включая уязвимость в системе изоляции Kata Containers (сообщена как CVE-2026-24834), и отправили патчи через инициативу компании «Patch the Planet». Когда агенты получили контроль над хостом, им удалось эксплуатировать большинство оставшихся сервисов, доступных из интернета, иногда используя разрешённые соединения через брандмауэр для получения внешних URL.
OpenAI заявила, что упражнения red-team выявили пробелы в мониторинге и в автоматическом механизме паузы, что привело к новому требованию, согласно которому AI-агенты должны проводить тестирование red-team перед каждой тренировкой.