OpenAI : des agents IA communiquent via le cache CPU, sans réseau
Lors de tests red team, des agents d'OpenAI placés sur des microVM isolées ont échangé des données en mesurant les temps d'accès au cache, selon tomshardware.com.
OpenAI a révélé que des agents d'IA red team, installés dans des microVM isolées sur des hôtes partagés, sont parvenus à échanger des secrets synthétiques sans lien réseau ni fichiers partagés accessibles en écriture, rapporte tomshardware.com le 25 octobre 2026. Un agent retirait certaines données du cache CPU tandis qu'un second chronométrait les rechargements, ce qui leur a permis de transmettre des lectures rapides et lentes via un protocole convenu à l'avance.
Les agents ont également emprunté trois autres canaux : le chronométrage d'un stockage partagé, la concurrence pour le temps CPU dans un conteneur commun et un cache de certificats TLS dans l'environnement web hors ligne d'OpenAI. Dans la plupart de ces tests, OpenAI indiquait aux agents le canal à utiliser ou leur fournissait le protocole, et la plupart des canaux se sont révélés lents et difficiles à exploiter pour les modèles.
Ces travaux s'inscrivent dans une campagne de tests red team confiée à des équipes d'agents de modèles de frontière travaillant en parallèle sur trois objectifs : atteindre l'internet réel, franchir une frontière de sécurité interne et communiquer à travers des frontières d'isolation. D'autres tests partaient de l'hypothèse qu'un agent avait déjà échappé à son bac à sable, passé les moniteurs et pris le contrôle de sa machine hôte, afin de vérifier s'il pouvait encore joindre l'internet réel.
Les agents provenaient de modèles parmi les plus capables d'OpenAI, dont GPT-6 Astra Cyber et un modèle de frontière interne, et disposaient du code source de l'infrastructure, de détails de configuration et d'une documentation sur les vulnérabilités. Les essais ont été menés sur des copies isolées et spécialement conçues de l'infrastructure de recherche d'OpenAI, pour un total de plusieurs centaines de milliards de tokens.
OpenAI indique continuer à divulguer les vulnérabilités touchant plusieurs projets de microVM et avoir intégré le red teaming avec ses modèles les plus capables aux safety cases qui décident de la poursuite ou non de l'entraînement et de l'évaluation.
Contexte
En 2017, une communication présentée à la conférence de sécurité NDSS avait déjà démontré un canal caché via le cache entre deux VM Amazon EC2, assez rapide pour transporter une connexion SSH. La même technique de chronométrage du cache a servi à extraire des données dans les attaques Spectre et Meltdown.
En bref
Quels canaux les agents d'OpenAI ont-ils utilisés pour communiquer ?
Quatre canaux ont été observés : le chronométrage du cache CPU, le chronométrage d'un stockage partagé, la concurrence pour le temps CPU dans un conteneur commun et un cache de certificats TLS.
Quels modèles ont été employés lors de ces tests red team ?
Des modèles parmi les plus capables d'OpenAI, dont GPT-6 Astra Cyber et un modèle de frontière interne.