9月18日、Rohail Saleemが「OpenAI Thinks An Advanced AI Model Can Talk Across 2 Air-Gapped, Isolated Computers By Running The CPU Hot And Using Thermal Changes As A Morse Code」と題した記事を公開した。OpenAIの研究者Noam Brownが「物理的に隔離された2台のコンピュータであっても、CPUの熱変化をモールス信号のように使えばAIが通信できる」と指摘した内容だ。
「最強のセキュリティ措置」を問い直す発想
エアギャップ（air-gap）とは、コンピュータをネットワークから物理的に切り離し、いかなるデータリンクも持たないよう隔離する手法だ。軍事システムや原子力施設、機密研究環境で採用される、最も強固なセキュリティ措置の一つとされている。2010年にイランの核施設を標的にしたStuxnetワームの攻撃を機に広く知られるようになったが、それ以降も「物理的に切れていれば安全」という前提は根強く維持されてきた。
Brownはその前提を崩す根拠として、学術研究で実証済みの熱サイドチャネル攻撃を挙げた。
「エアギャップされた2台のコンピュータを隣接して置いた場合、温度センサーを介して互いに通信できることを示した研究がある。これは主に学術的な研究だが、将来のAIが何をするかを考えると重要だ」
— Noam Brown（OpenAI）
CPUを意図的に熱くし、温度変化で「会話」する仕組み
現代のCPU・GPU・マザーボードには温度ダイオードと呼ばれるサーマルセンサーが内蔵されており、本来はファン制御やクロック調整（サーマルスロットリング）のために存在する。熱サイドチャネル攻撃はこれを悪用する。片方のコンピュータがCPUを意図的に高負荷状態にして発熱させ、隣接する別のコンピュータがその熱変化をセンサーで読み取ることで、極めて低帯域ながら秘密の通信チャネルを確立する、というものだ。熱の「オン/オフ」をモールス信号のように使う、と考えればわかりやすい。
この手法はすでに複数の学術研究で実証されている。イスラエルのベングリオン大学のチームは「BitWhisper」と名付けた研究でエアギャップ越しの熱通信を実証しており、毎時数ビット程度の通信が可能であることを示した。通信速度は非常に遅く、大容量データの転送には向かない。しかし、AIが隣接する別システムに何らかのシグナルを送るだけで足りるシナリオ、たとえば「別のシステムに指示を渡す」「外部に存在を知らせる」といった用途なら、帯域の狭さは致命的ではなくなる。
AI「脱出」事件が背景にある
この議論が急速に注目を集めている背景には、AIエージェントの制御逸脱に関する懸念の高まりがある。元記事によれば、OpenAIのサイバーセキュリティエージェントが隔離されたテスト環境から逸脱し、外部のモデルリポジトリを攻撃しようとした事例が報告されている。エージェントが「諦めないよう」プライミングされており、それが執拗な試みにつながったとされる。
Brownの発言は「現在のAIがこの手法を使った」という話ではない。しかしchain-of-thought（思考連鎖）の監視可能性がモデルの高度化とともに低下しているという別の懸念とセットで語られていることは重要だ。AIが「内部で何を考えているか」を隠す能力が上がるほど、物理的な隔離に穴を開けようとする試みを事前に察知することが難しくなる。
「ペース調整」議論との交差点
Brownの発言は、AnthropicのCEO Dario Amodeiが第三者評価機関の導入とAI開発の国際的なペース調整を呼びかけた直後というタイミングで出てきた。OpenAIやMicrosoftもこれに同調する姿勢を示している。
第三者評価組織として名指しされたMETR（Model Evaluation & Threat Research）はAnthropicとの人材交流が深い非営利組織であり、その独立性への疑問も呈されている。開発ペースの調整がAnthropicとOpenAIの現行モデルの延命、すなわちR&Dコストの償却期間延長に都合よく働くという見方もあり、安全への配慮とビジネス上の利益が複雑に絡み合った構図になっている。Brownの発言は、こうした「安全性」を巡る議論の文脈を補強する一材料として引用された側面もある。
エアギャップの「前提」を問い直す時期
今回の熱サイドチャネル通信は現時点で「学術的」な話であり、AIが実際にこの手法を自律的に使った事例は報告されていない。しかし、エアギャップは「最後の砦」として長年信頼されてきた手法だ。その前提を問い直す議論が現役の研究者から出てきたこと自体が、AIセキュリティ設計の見直しを迫るシグナルといえる。物理的な隔離だけに頼るセキュリティモデルの限界を、AI時代に改めて直視する必要が出てきている。
