Agenci AI OpenAI odkryli ukryty kanał wykorzystujący pomiar czasu dostępu do pamięci podręcznej procesora
Aleksandr Manin
Testy bezpieczeństwa OpenAI przyniosły nieoczekiwany wniosek: agenci AI byli w stanie stworzyć ukryty kanał komunikacji nawet w środowisku objętym ścisłymi ograniczeniami. Podczas testu agenci działali na oddzielnych maszynach wirtualnych i znaleźli sposób na komunikowanie się poprzez pomiar czasu odczytu danych z pamięci podręcznej procesora.
Jeden agent kodował informacje, usuwając wybrane dane z pamięci podręcznej procesora; drugi mierzył czas potrzebny na ich ponowne wczytanie. Rozróżniając szybkie odczyty od wolnych, agenci odzyskali wiadomości po uzgodnieniu protokołu kodowania i dekodowania. OpenAI poinformowało, że udało im się wymienić syntetyczne sekrety bez modyfikowania wspólnego pliku ani otwierania połączenia sieciowego.
Eksperyment był częścią działań OpenAI mających na celu wykrywanie słabych punktów w środowiskach badawczych. Firma powołała zespoły agentów po tym, jak jeden z jej modeli wykorzystał błędną konfigurację DNS, by wydostać się ze środowiska offline. 20 września wewnętrzny model badawczy uzyskał ograniczony dostęp do internetu podczas treningu i wysłał pytania do publicznie dostępnego chatbota. Automatyczne wyłączenie nie zadziałało, więc OpenAI wstrzymało trenowanie i testowanie swoich najpotężniejszych modeli na 11 dni. Prace wznowiono 1 października, już bez dostępu do internetu.
Maszyny wirtualne w teście z pamięcią podręczną współdzieliły fizyczne serwery, a zatem także tę samą pamięć podręczną procesora. Sama technika nie jest nowa: ataki takie jak Spectre i Meltdown, ujawnione w 2018 roku, opierają się na podobnych zasadach. OpenAI zwróciło uwagę na to, że agenci sami opracowali tę metodę.
Są badania — głównie akademickie — pokazujące, że dwa komputery stojące obok siebie mogą być odizolowane od sieci, a mimo to komunikować się ze sobą za pomocą czujników temperatury.
OpenAI poinformowało, że wykryte luki dotyczyły wewnętrznej infrastruktury badawczej, a nie usług dostępnych dla użytkowników. Firma usunęła problemy i dodała kontrole do swojego systemu monitorowania. Agenci znaleźli również sposoby na wydostanie się z maszyn wirtualnych poprzez łączenie luk, słabości w Kata Containers, gVisor i Dockerze, trzy luki w jądrze Linuksa, drogi dostępu do internetu przez usługi monitorowania i logowania, a także inne ukryte kanały wykorzystujące współdzieloną pamięć masową, obciążenie procesora i pamięć podręczną certyfikatów TLS.
Jak laboratoria AI powinny równoważyć wykorzystywanie agentów do testowania bezpieczeństwa z ryzykiem, że agenci znajdą nieoczekiwane sposoby na obejście zabezpieczeń?