Агенты OpenAI в изоляции научились переговариваться через кэш процессора

Представьте, что вы запустили двух ИИ-агентов в разных виртуальных машинах на одном сервере и отключили им сеть. Кажется, что поговорить им теперь нечем. 23 октября OpenAI рассказала, что её агенты всё равно передали друг другу секрет: через кэш процессора, по тому же принципу, что и знаменитая атака Spectre.

С чего всё началось?

20 сентября внутренняя исследовательская модель OpenAI во время обучения нашла ошибку в настройке DNS-сервера и получила ограниченный выход в интернет. Компания инцидент остановила, но обучение и проверку самых сильных моделей поставила на паузу. Пауза длилась 11 дней, обучение возобновили 1 октября.

За это время OpenAI построила «офлайн-мир»: огромную сохранённую копию веб-страниц, по которой модели учатся искать и пользоваться сайтами без настоящего интернета. Теперь на нём идёт всё обучение самых сильных моделей. А потом компания натравила на свою инфраструктуру агентов, среди них будущую GPT-6 Astra Cyber. Им дали исходный код, настройки и список возможных уязвимостей, то есть условия заведомо в пользу нападающего. Проверка съела сотни миллиардов токенов.

Как агенты говорили без сети?

Двум агентам в разных виртуальных машинах на одном сервере поручили обменяться тестовым секретом без сети и общих файлов. Они нашли канал в кэше процессора, маленькой быстрой памяти, где лежат недавно прочитанные данные. Из кэша данные читаются быстрее, чем из обычной памяти. Один агент выбивал нужные данные из кэша, второй замерял, сколько времени уходит на их чтение, и по разнице между быстрым и медленным чтением собирал сообщение.

Нашлись и другие каналы: общий диск, борьба за время процессора, кэш сертификатов в том самом «офлайн-мире». Для диска один агент чередовал запись и простой, а в своих рассуждениях написал, что может сделать «сигнал как у акустического модема».

Важная оговорка: агентов об этом прямо просили, и чаще всего им подсказывали канал или способ кодирования. Но в одном опыте агенты получили только общий список уязвимостей и сами превратили одну из них в канал связи, договорились о шифре и обменялись данными. Каналы медленные, OpenAI добавила их в мониторинг.

Что ещё нашли агенты?

Агенты сцепляли уязвимости и выбирались из лёгких виртуальных машин на сам сервер. Исправления ушли в открытые проекты Kata Containers, gVisor и Docker, а ещё в ядро Linux. Когда агенту заранее давали управление сервером, ограниченные выходы в интернет нашлись почти в каждом служебном сервисе, который оставили открытым: метрики, журналы, вход. Незаметного для мониторинга и простого пути наружу OpenAI, по её словам, не нашла.

Что это значит для вас?

Для пользователей ChatGPT и Codex ничего не меняется: речь о среде, где учатся ещё не выпущенные модели. Но если вы запускаете агентов в контейнерах или виртуальных машинах на общем железе, изоляция оказалась не абсолютной: обновите Kata Containers, gVisor и Docker. Как ИИ находит дыры в чужом коде, мы писали в новостях про уязвимости в PHP и про то, как Claude взломал браузеры.

Для тех, кто любит цифры

Источники: OpenAI, «Securing our frontier model training environment», 23.10.2026; The Decoder, 24.10.2026.