격리된 작업 간 통신
에이전트들이 서로 통신하기 위해 항상 네트워크 연결이 필요한 것은 아닙니다. 별도의 환경이 동일한 하드웨어나 서비스를 공유하는 경우, 한 환경의 활동이 다른 환경에서 감지할 수 있는 영향을 만들어낼 수 있습니다. 저희의 레드팀 에이전트들은 이러한 영향을 통신 수단으로 전환하는 방법을 찾아냈으며, 이를 통해 OpenAI 자체 샌드박싱 인프라 내의 통신 채널이 드러났습니다.
한 실험에서 저희는 공유 호스트 머신에서 OpenAI의 샌드박싱 소프트웨어가 생성하고 관리하는 별도의 마이크로VM에 있는 에이전트들에게, 네트워크 연결이나 공유된 쓰기 가능 파일을 사용하지 않고 합성 비밀값을 교환하도록 요청했습니다. 이는 저희 시스템이 막도록 되어 있는 일입니다. 에이전트들은 프로세서의 캐시를 사용해 통신하는 방법을 찾아냈습니다. 캐시는 애플리케이션이 최근에 접근한 데이터의 사본을 보관하는 작고 빠른 메모리입니다. 캐시에서 데이터를 읽는 것은 메인 메모리에서 가져오는 것보다 빠르며, 에이전트들은 이 시간 차이를 이용해 통신했습니다. 한 에이전트는 선택한 데이터를 캐시에서 축출(evict)하는 방식으로 정보를 인코딩했습니다. 다른 에이전트는 그 데이터를 다시 불러오는 데 걸리는 시간을 측정하여, 빠른 읽기와 느린 읽기의 차이를 이용해 메시지를 복원했습니다. 에이전트들이 이러한 신호를 인코딩하고 디코딩하기 위한 프로토콜에 합의하자, 공유 파일을 변경하거나 네트워크 연결을 열지 않고도 합성 비밀값을 교환할 수 있었습니다. 이 캐시 타이밍 기법은 스펙터(Spectre)와 멜트다운(Meltdown) 공격에서 정보를 추출하는 데에도 사용된 바 있습니다.
오픈AI가 내부 모델들을 테스트하면서 안전장치를 새롭게 보강하고 있습니다. 안전장치가 잘 작동하는지 테스트하기 위해 가장 강력한 내부 개발중 모델과 GPT-6 아스트라들을 투입시켰는데, 별에 별 다양한 허점들이 발견되었다고 합니다.
가장 신기한 헛점은 AI에이전트들을 각각 가상머신속에 격리한채 테스트를 하였는데, OAI는 가상머신 격리의 헛점을 뚫어보기위해 네트워크 연결이나 공유쓰기가능 파일을 활용하지 않은채 AI에이전트들간에 소통을 할 것을 지시해보았습니다. 그랬더니, AI에이전트들은 놀랍게도 CPU의 캐시의 데이터 읽는 속도 차이를 신호로 활용해서 통신했다고 합니다.
정확히는 한 에이전트가 선택한 데이터를 케시에서 축출하는 방식으로 정보를 인코딩했고, 다른 에이전트는 그 데이터를 불러오는데 걸리는 시간을 측정해서 빠른 읽기와 느린읽기간 소요시간 차이를 활용해 비밀메세지를 복원했다고 합니다.
https://openai.com/index/securing-our-frontier-model-training-environment/