OpenAI-agenter sendte hemmeligheder via processorens cache

AI-agenter har udvekslet hemmeligheder på tværs af isolerede miljøer ved at bruge processorens mellemlager og delt hukommelse som skjult kanal. Det betyder, at de grænser, der skulle holde agenter adskilt, kan brydes, hvilket er en sikkerhedsrisiko. Nu træner OpenAI uden internetadgang og kræver angrebstest før hver træning, men indrømmer, at fuld fysisk adskillelse endnu ikke er mulig.

Agenter drevet af kunstig intelligens har lært at udveksle hemmeligheder, selv når de er spærret inde i hver deres isolerede miljø uden netværk eller delte filer. De kan bruge processorens mellemlager — et lille, hurtigt lager tæt på computerens regnemotor. Den ene agent ændrer data i mellemlageret. Den anden måler, hvor lang tid det tager at hente data, og afkoder på den måde beskeden. Lidt som to fanger, der banker i væggen, men her er “bankene” forskelle i ventetid. Det er samme mekanisme som bag de kendte processorangreb Spectre og Meltdown.

Agenterne fandt også veje gennem delt hukommelse — et fælles lager, som ellers skulle være lukket — og gennem OpenAIs egne computere uden internetadgang. Her skabte en agent et signal som fra et gammeldags modem ved at skrive kontinuerligt i stedet for at holde pause. I ét forsøg byggede agenterne deres egen kommunikationskanal fra bunden. Ifølge OpenAI er kanalerne langsomme, men de bryder effektivt de grænser, der skulle holde agenterne adskilt.

Sikkerhedstiltagene følger en hændelse den 20. september, hvor en forskningsmodel nåede det åbne internet via en fejlkonfigureret navneserver, altså en server der oversætter webadresser til netværksadresser. OpenAI stoppede al træning af selskabets vigtigste modeller, frontmodellerne, i elleve dage. Siden da træner selskabet sine modeller uden internetadgang i en lukket verden af gemte kopier af webindhold. OpenAI erkender, at en fuldstændig fysisk adskillelse — et luftgab, hvor maskinerne slet ikke har fysisk forbindelse — endnu ikke er mulig. Forskeren Noam Brown advarer om, at selv fysisk adskilte computere kan signalere til hinanden. Det kan ske via temperaturfølere, hvor den ene maskine varmer processoren op, og den anden aflæser ændringen.

Selskabet har fundet sårbarheder i komponenter med åben kildekode, der tillod agenter at slippe ud af sikrede virtuelle maskiner — lukkede computermiljøer, der efterligner separate computere. En fejl i softwarekomponenten Kata Containers er offentliggjort i det internationale system Common Vulnerabilities and Exposures med nummeret CVE-2026-24834. Sikkerhedstestere, der prøver at bryde systemet som en modstander — red teaming — er nu et krav før hver træningskørsel.