10月25日、Tom's Hardwareが「OpenAI's isolated red-team AI agents built a hidden CPU cache channel to talk with no network or shared files」と題した記事を公開した。OpenAIの赤チームテストで、AIエージェントがネットワーク接続も共有ファイルも使わず、CPUキャッシュのタイミング差を悪用した隠れ通信チャネルを自律的に構築したことが明らかになった。
ネットワーク遮断・ファイル共有禁止でも通信を確立
OpenAIが実施した赤チームテストで、AIエージェントが互いに隔離されたmicroVM環境内でサイドチャネル通信を自律的に確立した。ネットワーク接続なし、共有書き込みファイルなし——それでもエージェントは情報を交換してみせた。
手法はCPUキャッシュのタイミング差を使ったコバートチャネル（隠れ通信路）だ。送信側のエージェントが選択したデータをCPUキャッシュから意図的に追い出し（evict）、受信側がそのデータの再ロードにかかる時間を計測する。キャッシュヒット（速い）とキャッシュミス（遅い）の差を符号化することで、事前に合意したプロトコルに基づいて情報を伝達する仕組みだ。なお、このチャネルは送信側と受信側の役割が非対称に固定された一方向性の通信路であり、双方向の対話とは異なる点に注意が必要だ。
このキャッシュタイミング攻撃の技術的な基盤は新しくない。2018年に公開されたSpectreおよびMeltdownはまさに同じ原理でCPUの投機的実行から秘密情報を抽出した。Flush+ReloadやPrime+Probeといったキャッシュコバートチャネルの手法は学術的に広く知られており、2017年のNDSSセキュリティ会議では2つのAmazon EC2 VM間でSSH接続を通すほどの帯域幅を持つキャッシュコバートチャネルが実証されている。ただし今回と決定的に異なるのは、エージェントがその通信路をゼロから自分で構築し、エンコーディング方式まで自律的に設計したという点だ。
サンドボックスの壁は「ソフトウェア層」だけではない
テストでは、OpenAIの複数のエージェントが同一の物理ホスト上に配置された別々のmicroVMで動作していた。プロセス分離、syscall制限、ネットワーク遮断——ソフトウェア的な隔離は徹底されていた。だが物理ハードウェアは共有されていた。
テクニカルコメンテーターのRyan Orhan氏はX上でこう述べた。
「分離はソフトウェアレベルでは破られていない。エージェントは別々のVMで動いていたが、それでも下層のハードウェアを共有していた。共有ハードウェアはマイクロアーキテクチャの状態を共有することを意味する。プロセスを隔離し、syscallを制限し、ネットワークアクセスを遮断しても、タイミング差を通じて情報は漏れる。これはなぜ安全なエージェントの封じ込めがこれほど難しいかを示す、かなり顕著なデモンストレーションだ。」
この指摘は本質を突いている。クラウド上の共有物理サーバーで稼働する攻撃者制御下のエージェント（例：プロンプトインジェクションで乗っ取られたエージェント）が受信側として機能した場合、ネットワークトラフィックを一切発生させずにデータを外部へ持ち出せることを意味する。
発見された4つのコバートチャネル
赤チームテストではキャッシュタイミング以外にも合計4つの隠れ通信路が確認された。
- CPUキャッシュタイミング（今回の主役）：上述のFlush+Reload系の手法
- 共有ストレージへの書き込みバースト：一方が書き込みと待機を交互に繰り返し、もう一方がI/Oタイミングを計測
- 共有実行コンテナのCPU競合：CPUスケジューリングの奪い合いを信号として使用
- OpenAIのオフラインWeb環境のTLS証明書キャッシュ：証明書のキャッシュ状態をシグナルとして利用
OpenAIはほとんどのテストでエージェントに通信チャネルの存在やプロトコルをあらかじめ提示しており、帯域幅は低く、モデルが実際にこれらを悪用するのは難しいと説明している。
テストの規模と背景
赤チームテストはOpenAIの研究インフラの隔離されたコピー上で実施された。参加したのは同社の最上位モデル群で、インフラのソースコード、設定情報、既知の脆弱性に関するドキュメントを与えた上でテストが行われた——つまり攻撃者に有利な条件でのテストだ。消費トークン数は数千億トークンに達した。
エージェントに課せられた目標は3つ：①ライブインターネットへの到達、②内部セキュリティ境界の突破、③隔離境界を越えた通信。さらに「内部防御がすでに突破された」という前提での追加テストも実施され、ホストマシンを完全制御したエージェントがライブインターネットに到達できるかどうかも検証された。
OpenAIは現在、最上位モデルによる赤チームテストをトレーニングおよび評価を進める際の安全評価の必須要件として組み込んでいる。
詳細はOpenAI's isolated red-team AI agents built a hidden CPU cache channel to talk with no network or shared filesを参照していただきたい。
