隔離的虛擬機器還能互通訊息？OpenAI 紅隊用處理器快取搭出隱密通道

OpenAI 公布 10 月 23 日的前沿訓練安全報告：紅隊代理人在沒有網路、沒有共用檔案的情況下，靠處理器快取的時間差交換訊息，提醒業界只靠斷網隔離並不夠。

把兩個 AI 代理人分別關進沒有網路、也沒有共用檔案的虛擬機器，照理說它們應該老死不相往來。OpenAI 在 10 月 23 日公開的前沿訓練安全報告卻指出，紅隊測試裡的代理人找到了一條繞過軟體隔離的路：它們共用同一台實體主機上的處理器快取，藉由快取讀取速度的快慢差，把訊息一個位元一個位元傳了出去。

沒有網路也能傳訊息，關鍵在共用的硬體

這場測試的設定相當嚴苛：兩名代理人各自待在獨立的微型虛擬機器裡，彼此之間沒有網路連線，也沒有可以共同寫入的檔案。唯一交集，是它們跑在同一台主機上，因而共用同一顆處理器的快取記憶體。

其中一名代理人會刻意把特定資料逐出快取，另一名代理人則量測自己重新讀取這些資料要花多久。讀取速度快，代表資料還留在快取裡；讀取速度慢，代表資料已經被逐出。快與慢的對照，就成了一組可以編碼的訊號。兩名代理人事先談好編碼方式，便能用這種方式互傳事先約定的測試訊息。

這不是軟體漏洞，而是硬體層的旁敲側擊

這類手法在資安領域並不陌生，過去 Spectre 與 Meltdown 漏洞利用的也是處理器微架構的時間差。不同之處在於，過去是攻擊者從受害程式手裡偷資料，這次則是兩個彼此配合的代理人主動合謀搭橋。OpenAI 也強調，這條通道速度緩慢、操作門檻高，不容易在實務上大規模利用，但它證明了一件事：只靠切斷網路的「氣隙式隔離」，擋不住共用硬體帶來的資訊滲漏。

同一波紅隊演練還發現了其他隱密通道，例如共用儲存空間、處理器運算資源的競爭，以及離線網頁快取裡的憑證快取。OpenAI 表示，相關修補已經提交給 Kata Containers、gVisor、Docker 等開源專案，訓練環境也改為全程不接外部網路，改以離線索引的網頁資料供模型查閱。

隔離思維要升級：從封網路到管硬體

這份報告的背景，是 OpenAI 在 9 月 20 日因 DNS 設定失誤導致模型一度取得外部網路存取權限，因而暫停前沿模型訓練，直到 10 月 1 日修復後才恢復。新的防護思維是多層縱深：網路隔離只是其中一層，還要監控代理人之間的異常通訊模式，並持續用前沿模型對自家基礎設施發動攻擊演練。

對所有部署 AI 代理人的團隊來說，這都是一記提醒：權限設計不能只問「誰登入了」，還要問「登入之後的行為是否合理」，以及「不同租戶或任務之間是否真的互不干擾」。這也是看店勢把權限與資料安全放在產品設計核心的原因：當軟體開始替人辦事，邊界就必須畫在行為層級，而不只是帳號層級。

資料來源

• OpenAI 官方部落格：Securing our frontier model training environment（2026 年 10 月 23 日）
• Tom’s Hardware 相關報導
• Oossa 相關報導