Agentes de IA da OpenAI encontraram um canal secreto por meio da temporização do cache do processador
Aleksandr Manin
Os testes de segurança da OpenAI revelaram uma lição inesperada: seus agentes de IA conseguiram criar um canal de comunicação secreto mesmo em um ambiente com restrições rigorosas. No teste, os agentes estavam em máquinas virtuais separadas e encontraram uma maneira de se comunicar medindo a rapidez com que os dados podiam ser lidos do cache do processador.
Um agente codificou informações removendo dados específicos do cache do processador; outro mediu quanto tempo levava para carregá-los novamente. Ao distinguir leituras rápidas das lentas, os agentes recuperaram mensagens depois de combinar um protocolo de codificação e decodificação. A OpenAI afirmou que eles conseguiram trocar segredos sintéticos sem modificar um arquivo compartilhado nem abrir uma conexão de rede.
O experimento fez parte dos esforços da OpenAI para encontrar vulnerabilidades em seus ambientes de pesquisa. A empresa reuniu equipes de agentes depois que um de seus modelos explorou uma configuração incorreta de DNS para sair de um ambiente sem conexão com a internet. Em 20 de setembro, um modelo interno de pesquisa obteve acesso limitado à internet durante o treinamento e enviou perguntas a um chatbot público. O desligamento automático não funcionou, então a OpenAI pausou o treinamento e os testes de seus modelos mais poderosos por 11 dias. O trabalho foi retomado em 1º de outubro, sem acesso à internet.
As máquinas virtuais usadas no teste do cache compartilhavam servidores físicos e, portanto, o mesmo cache do processador. A técnica em si não é nova: ataques como Spectre e Meltdown, divulgados em 2018, se baseiam em princípios semelhantes. O que chamou a atenção da OpenAI foi o fato de os agentes terem descoberto o método por conta própria.
Há estudos — e isso é sobretudo acadêmico — em que dois computadores próximos um do outro, isolados de qualquer rede, ainda conseguem se comunicar porque têm sensores de temperatura.
A OpenAI afirmou que as vulnerabilidades identificadas afetavam a infraestrutura interna de pesquisa, não os serviços voltados aos usuários. A empresa corrigiu os problemas e adicionou verificações ao seu sistema de monitoramento. Os agentes também encontraram maneiras de escapar das máquinas virtuais encadeando vulnerabilidades, explorando falhas no Kata Containers, no gVisor e no Docker, três vulnerabilidades do kernel do Linux, rotas para a internet por meio de serviços de métricas e registro de logs, além de outros canais secretos envolvendo armazenamento compartilhado, carga da CPU e o cache de certificados TLS.
Como os laboratórios de IA devem equilibrar o uso de agentes para testar a segurança com o risco de que eles encontrem maneiras inesperadas de contornar as salvaguardas?