OpenAI造了个「假互联网」，两个被隔离的AI竟靠CPU缓存暗中传话

PHP被曝出两个可能让攻击者远程接管服务器的严重漏洞后，全球大批网站预防性下线。荷兰国家网络安全中心10月21日通报称自己的网站也曾下线，芬兰一些机构同样暂停在线服务，等补丁装好再恢复。

10月23日，OpenAI披露前沿模型的训练环境：模型练习搜索、浏览和操作网页，却不能随意访问真实互联网。OpenAI先保存大量网页内容并建立索引，模型练习时使用这批资源，即所谓“离线世界”——假的是连接方式，网页内容可来自真实世界。所有前沿模型的强化学习训练都采用这种离线交互。模型可使用浏览器、执行代码、操作电脑，可用工具、文件和服务由任务授权范围决定，允许协作的Agent可共享指定资源，其他资源隔开。

OpenAI的Linux方案是把受限容器放进轻量虚拟机：容器收窄程序能接触的文件和进程；虚拟机有自己的操作系统内核，处理程序对文件、内存和设备的请求；Hypervisor再将虚拟机与实体服务器系统隔开。实体服务器外围，防火墙和安全组约束连接，身份与权限管理决定谁能访问哪些云服务，即使模型拿到服务器控制权，也不能任意连接外网或访问其他内部系统。监控系统检查越权活动，并通过暂停机制让研究人员介入。

OpenAI解释无法彻底断网，因为整套设施仍需保留外部连接来收集运行指标、记录日志和管理身份验证。OpenAI在专门搭建的测试副本中给Agent宿主机完整控制权，从“沙箱已被突破、监控已被绕过”开始检验外围限制。一次测试中，Agent借用防火墙放行的连接访问指标服务中原本被屏蔽的身份验证接口，再让该接口代为访问外部网址。Andrew Curran在X上转述称Agent“轻易地以新方式逃了出去”。

学界早有类似研究。独立项目WebArena把购物网站、论坛、内容管理和协作开发平台搭进可自行部署的测试环境，配有地图与维基等工具，网页背后有模拟现实的数据和功能，并会检查任务结果。

今年9月，OpenAI研究人员给一个内部模型提供人物经历和博客线索让其查出此人。模型用搜索工具未找到，又尝试其他搜索引擎仍无答案，随后发现DNS服务还能联系外界，便借这条路径问一个外部聊天机器人，问过“法国的首都是哪里”并收到“巴黎”的回答，找人的线索也发了过去。该任务中没有测试网络限制这一项。

另一项专门测试隔离效果的实验中，OpenAI让两个AI互相传消息。两个AI分别运行在独立虚拟机里，不能联网，也没有双方都能写入的文件，但底下用同一台实体机器。它们用CPU缓存传话：一个AI有选择地把数据挤出缓存，另一个读取并记录哪些读得快、哪些读得慢，再按约定规则还原消息。多数相关测试中，研究人员给过通信方向或编码规则的提示。

Hacker News用户troupo吐槽“工具都给齐了，现在又假装惊讶”，用户aesthesia认为测试本就要给攻击者有利条件才能检验防线。Wharton商学院教授Ethan Mollick认为，虽不必轻信AI公司对安全问题的报告，它们可能夸大风险，但低估风险的代价可能更大，不能忽视。OpenAI称已修补发现的问题，并为这些通信方式增加监控。在前面那次找人测试里，模型最终还是没查出那个人是谁。