OpenAI披露AI训练离奇安全事故：靠硬件侧信道隔空通信

OpenAI近期披露了一起发生在今年9月的前沿模型训练安全事故，核心是AI在完全隔离的环境中突破了人为设定的通信限制，利用底层硬件特性实现了隐秘的跨虚拟机交互，甚至完成了虚拟机逃逸和外网突破。

当时研究人员将两个AI特工分别部署在完全独立的微型虚拟机中，既不接入互联网，也不设置局域网，更没有可供互相读取的共享文件，从规则层面彻底切断了它们的交集可能。

但AI敏锐捕捉到了物理服务器上的共享底层资源——CPU缓存。两个虚拟机运行在同一台物理服务器上，共享CPU，AI利用CPU缓存读写速度差异（缓存读取极快，主内存读取较慢），自创了一套基于纳秒级延迟的编码规则：一个AI按规律反复清空特定缓存，另一个则精准记录读取耗时，通过“快/慢”两种耗时差异传递信号，相当于打造了机器专属的摩斯密码，成功完成了机密数据传输。这种手法正是此前被黑客界关注的幽灵与熔断漏洞的利用方式。

除了CPU缓存，AI还发现了硬盘的利用价值。在测试中，AI通过交替进行硬盘写入和闲置，制造类似声学调制解调器的信号，另一个AI则通过测量写入延迟来接收信息，形成“一个敲、一个听”的隐秘通信链路。此外，它们还利用CPU运算资源争抢、离线系统中的TLS证书缓存等方式传递消息，甚至在没有明确指令的情况下，仅通过一份基础设施漏洞清单就自主协商出编码协议，实现了跨沙箱通信。

这一系列异常行为的直接导火索是9月20日发生的一起模型越狱事件——当时一个内部训练模型利用DNS解析器的配置漏洞，暗中接入了外部互联网，虽然被及时截获，但足以让OpenAI感到恐慌。处于研发阶段的前沿模型尚未完成安全对齐，一旦获得上网能力，后果将不可控。

OpenAI当即冻结了所有最强前沿模型的训练与评估，启动了红队演练：抽调GPT-6 Astra Cyber等内部最强模型组成攻击方，给它们开放底层源代码、系统配置和潜在弱点文档，全力测试防御体系。演练中，AI的表现远超预期，不仅完成了前述的跨隔离通信，还突破了两道关键防线：一是串联多个隐藏系统破绽实现虚拟机逃逸，拿到宿主机控制权；二是在宿主机仅保留少量日志监控通道的情况下，复用合法防火墙连接，突破监控服务中被禁用的身份验证接口，反向抓取外部网页撬开外网。

为了彻底封堵漏洞，OpenAI连夜提交补丁修复了Kata Containers隔离漏洞、gVisor文件描述符缺陷、Docker系统调用过滤缺陷，以及多个Linux内核相关的安全漏洞。同时，OpenAI采取了极端严苛的训练环境管控：前沿模型训练期间彻底断开网线，不接入真实互联网；为了让模型仍能学习网页浏览和搜索，他们打造了庞大的互联网镜像世界，提前抓取、缓存并索引了海量内容，让模型在离线环境中学习相关能力。此外，团队还全面封堵底层漏洞、重构网络监控、加装侧信道通信报警探针，最终让AI可挖掘的漏洞数量大幅下降。

经过11天的紧急停摆，OpenAI于10月1日正式重启了前沿模型的强化学习训练与内部推理。