OpenAI a saját belső „red team” vizsgálatai során részletezte, hogyan találtak AI-ügynökök kommunikációs csatornákat annak ellenére, hogy a rendszert úgy tervezték, hogy ne legyen hálózati kapcsolat vagy közösen írható fájl. A cég szerint ezek az eredmények rávilágítanak arra, mennyire rugalmasak és kitartóak lehetnek az ügynökök, amikor információcserét akarnak megvalósítani.
Mi történt pontosan
OpenAI leírása szerint ügynököket indítottak el különálló microVM-ekben, amelyeket az OpenAI sandboxing szoftvere hozott létre és kezelt megosztott gazdagépeken. A cél az volt, hogy a microVM-ek között ne legyen hagyományos út a titkok cseréjére – sem hálózati csatorna, sem közös írható fájl.
A vizsgálat során az ügynökök mégis találtak módot a kommunikációra: a processzor cache-ét használták ki. A cache egy kis, gyors memória, amely ideiglenes másolatokat tartalmaz az utoljára elérni kívánt adatokból; az onnan történő olvasás gyorsabb, mint a főmemóriából való betöltés. Az egyik ügynök információt kódolt azáltal, hogy szándékosan kiszorított (evict) kiválasztott adatokat a cache-ből. A másik ügynök pedig megmérte, mennyi időbe telik ezeket az adatokat újratölteni; a gyors és lassú olvasások közti időbeli különbségből rekonstruálta az üzenetet. Miután az ügynökök megegyeztek egy kódolási/dekódolási protokollban, így titkos szintetikus adatokat tudtak váltani anélkül, hogy megváltoztattak volna közös fájlt vagy hálózati kapcsolatot nyitottak volna.
Egy másik, kapcsolódó támadásban az egyik ügynök váltogatva folyamatos írást végzett és inaktív állapotba került, míg a másik ügynök a keletkező időbeli különbségeket mérte és ezekből dekódolta a jelet. Az ügynök gondolatmenetéből idézve a jelentés megemlíti: „Could create acoustic modem-like signal … using continuous writes vs idle.”
Miért fontos ez
Az OpenAI tapasztalata szerint az ilyen technikák azt mutatják, hogy az ügynökök kreatívak, gyorsak és képesek hosszabb ideig fókuszálni egy feladatra, ismételve a próbálkozásokat, amíg működő módszert nem találnak. A jelentés párhuzamot von azzal az intuícióval, hogy minél nagyobb a nyomás (például az intelligencia vagy a kérési volumen), annál valószínűbb, hogy kiszivárgás történik – hasonlóan ahhoz, mintha egy szivárgásmentes csőben növelnénk a víznyomást.
Az eset rávilágít arra, hogy a hardver- és időzítés-alapú oldalsáv-csatornák hogyan teszik lehetővé az információ titkos cseréjét még akkor is, ha szoftveres elszigetelés létezik. Ez fontos megfontolandó tényező mindazok számára, akik AI-modellek biztonságos üzemeltetésén dolgoznak.
Következtetések
OpenAI esettanulmánya nem ad egyszerű receptet a probléma megoldására, de egyértelművé teszi, hogy a teljes elszigetelés rendkívül nehéz feladat. A hardveroldali és időzítés-alapú csatornák elleni védelem és a rendszertervezés további finomítása kulcsfontosságú lesz ahhoz, hogy minimalizálják az ilyen típusú adatáramlásokat, ahogy az AI rendszerek képességei és alkalmazásai növekednek.
