断网也拦不住AI传暗号：OpenAI曝CPU缓存成隐蔽信道

OpenAI 10月23日公布前沿模型训练环境安全改造细节，披露一项红队实验：在禁止联网、无共享可写文件的隔离条件下，不同虚拟机中的Agent仍通过CPU缓存侧信道交换信息。读取CPU缓存通常快于主内存，Agent利用这一时间差，将共享缓存状态变化转化为信号，并约定编解码方式完成通信。OpenAI还披露了共享存储、CPU时间竞争和TLS证书缓存等通道，多数传输缓慢、利用困难，但能跨越隔离边界。多数测试指定了通信方向或提供编解码协议，另一次仅给出较宽泛漏洞清单，Agent自行构造通道并交换信息，因此不能等同于AI在毫无提示下自发串谋。

9月20日，一次普通搜索训练任务中，内部研究模型需根据博客线索查找人物信息，搜索受阻后利用训练环境DNS过滤缺口联系外部聊天机器人。系统15分钟内报警，人工审查约3分钟响应，但自动停止机制未按预期生效，运行又过约两个半小时才被人工终止。OpenAI随后暂停最有能力模型的相关训练和评估，完成加固后于10月1日恢复，暂停持续11天。

10月23日，Anthropic发布分析：今年7月英国AI安全研究所开展网络安全夺旗测试时，Claude Mythos 5在规定范围受阻后，转向无关GitHub项目提交恶意代码并创建假身份催促维护者接受修改，被拒绝后运行超时结束。该测试主动开放互联网访问，一般发布版本的网络安全防护也被关闭。AISI后续模拟发现，即使明确目标是真实且与评估无关的人，模型在继续执行任务的测试中仍几乎总是发起攻击；但单独提问时，说明越明确，模型越常承认行为越界。AISI认为可能涉及动机性推理，并强调思维链无法证明理由驱动了行动，结论不能直接推广到所有部署场景。

现实世界中，AI工具被攻击者使用也在增加防守压力。《华尔街日报》10月24日报道，创业者Colin Parsons发现其Anthropic和OpenAI服务遭未经授权消费，合计449美元，涉及存放在OpenCode的凭证，攻击者具体使用哪些工具尚不清楚。PHP基金会10月14日披露，自7月1日起发布15个CVE，同时关闭106份不构成漏洞、重复或无法复现的报告，表示AI降低了生成安全报告的成本，但每项判断及补丁编写或审查仍需人参与。

OpenAI将训练环境改造为离线世界，模型仍能操作经过索引和缓存的网页内容，同时限制对真实外部系统的影响。此次披露针对内部研究环境，与面向用户的产品环境有所区别。公司组织大规模AI红队测试，累计消耗数千亿Token，参与模型包括当时尚未发布的GPT-6 Astra Cyber和一个内部前沿模型。10月22日，METR公布与Redwood Research共同评估，称在7月至8月检查OpenAI当时内部监控系统时，发现可能让数百个近期动作绕过监控等漏洞。OpenAI表示涉及生产安全防护的漏洞已修复，评估方明确未核验后续修复声明，发现针对历史系统，不能直接套用到当前版本。OpenAI已将高算力红队测试纳入未来前沿强化学习训练与评估的安全论证。