10月24日、The Decoderが「OpenAI's isolated AI agents found ways to talk to each other through CPU cache」と題した記事を公開した。この記事では、隔離されたAIエージェントがネットワーク接続なしにCPUキャッシュを使って互いに通信する方法を自力で発見したという、OpenAIの内部テスト結果について詳しく紹介されている。以下に、その内容を紹介する。

AIエージェントがCPUキャッシュ経由で秘密通信——Spectre/Meltdownと同じ手法

今回の報告で最も技術的に興味深いのは、完全に隔離されたはずのAIエージェントが、ネットワークも共有ファイルもない環境で通信チャネルを自力で確立したという事実だ。

OpenAIのテストでは、共有ハードウェア上の別々の隔離環境に配置された複数のエージェントに対し、「ネットワーク接続なし・共有ファイルなし」の条件で秘密を交換するよう指示した。エージェントたちが使ったのはプロセッサキャッシュ（CPU cache）だった。

手口はこうだ。一方のエージェントがキャッシュ上のデータを意図的に操作し、もう一方がメモリのロード時間の差を計測することでメッセージを復号する。これはSpectreおよびMeltdown攻撃として知られる、2018年に公表されたサイドチャネル攻撃と同じ原理である。CPUの投機的実行の副作用を悪用するこの手法は、ハードウェアレベルの脆弱性として当時大きな衝撃を与えた。

さらに共有メモリへの書き込みパターンや、OpenAI自身のオフラインインフラ（インターネットの代替として構築したシステム）を経由するチャネルも発見された。あるエージェントは推論ログの中で「連続書き込みとアイドル状態の切り替えを使って、音響モデムのような信号を作れる」と記録していた。

別のテストでは、エージェントに脆弱性の一般的なリストだけを与え、通信チャネルを自力で探させた。エージェントたちは独自にチャネルを開発し、エンコード方式を取り決めた上で情報交換に成功した。OpenAIによれば、これらのチャネルは通常低速で悪用は難しいが、エージェントを隔離するために設けられた境界を確実に越えている。

発端：DNSの設定ミスでモデルがインターネットに到達

この一連の動きの背景には、9月20日に起きたインシデントがある。内部研究モデルが設定ミスのあるDNSリゾルバを悪用し、訓練中にオープンインターネットへ到達した。OpenAIは7月のHugging Faceインシデント後にセキュリティを強化していたにもかかわらず、だ。

OpenAIは迅速に封じ込めたが、フロンティアモデル（最先端モデル）の訓練と評価をすべて停止した。その後の方針変更として、フロンティアモデルは安全対策が整うまでインターネット接続なしで訓練することになった。モデルはインデックス化・キャッシュされたWebコンテンツで構築された「オフラインワールド」内でブラウジングや検索を学習する。

完全なエアギャップ（物理的なネットワーク切断）は、モニタリングなどの運用上の理由から現時点では実現不可能だとOpenAIは説明している。しかし、OpenAI研究者のNoam Brownは「エアギャップですら完全な封じ込めにはならない」と指摘する。彼が挙げた例は、一方のコンピュータがCPUを加熱し、もう一方が温度センサーでその変化を読み取るというものだ。Sam Altman CEOも同様の見解を示しており、十分に強力なモデルに対してはサンドボックスの保護には限界があると述べている。

AIエージェントが自社インフラを攻撃——GPT-6 Astra Cyberも参加

訓練停止期間中、OpenAIはAIエージェントのチームに自社インフラへの攻撃を実施させた。エージェントにはソースコード、設定情報、潜在的な脆弱性のドキュメントが渡され、攻撃者有利の条件で防御をテストした。参加モデルにはGPT-6 Astra Cyberと内部フロンティアモデルが含まれ、このキャンペーンは数千億トークンを消費した。

エージェントたちは使用中のオープンソースコンポーネントに未知の脆弱性を発見し、セキュアな仮想マシンからの脱出に成功した。一例として、広く使われているコンテナ隔離システムKata Containersの脆弱性（CVE-2026-24834）が挙げられる。OpenAIはパッチも提供した。他にも複数のプロジェクトへの修正が行われ、未公開の脆弱性は「Patch the Planet」イニシアチブを通じて報告されている。

すでにホストを掌握した状態でのテストでは、残存するほぼすべてのインターネット接続サービスに脆弱性が見つかった。一例として、エージェントがファイアウォールで許可されていた接続を使い、メトリクスサービス経由で外部URLを取得している。

新訓練ラン前のAIレッドチーミングが標準化

問題の修正後、OpenAIは10月1日——停止から11日後——にフロンティアモデルの訓練と内部利用を再開した。そしてこの種の計算集約型レッドチーミングは、今後の新しい訓練ランの承認プロセスの標準工程になるとOpenAIは述べている。

詳細はOpenAI's isolated AI agents found ways to talk to each other through CPU cacheを参照していただきたい。