OpenAI、AIエージェントがCPUキャッシュで秘匿通信に成功と公表

OpenAIは2026年10月25日、隔離されたmicroVMサンドボックス内で動くレッドチーム用AIエージェントが、ネットワーク接続も共有の書き込み可能ファイルも使わずにCPUキャッシュのタイミングを利用した秘匿通信路を構築したと公表した。tomshardware.comが報じている。

共有ホスト上の別々のmicroVMに配置されたエージェント群は、事前に合意した手順に従い、合成の秘密情報をやり取りするよう指示された。一方のエージェントが選んだデータをCPUキャッシュから追い出し、もう一方が再読み込みの時間を計測することで、速い読み取りと遅い読み取りを信号として通信を成立させた。

エージェントらはこのほか、共有ストレージのタイミング、共有コンテナ内でのCPU時間の競合、OpenAIのオフラインWeb環境におけるTLS証明書キャッシュという3つの通信路も生み出した。ただし多くの試験ではOpenAI側が通信路を指定するかプロトコルを用意しており、大半の通信路は低速でモデルにとって悪用が難しいものだったという。

想定外の脱出後シナリオも検証

レッドチーム試験は、フロンティアモデルのエージェント群が並行して3つの目標に取り組む形で実施された。目標は実際のインターネットへの到達、内部のセキュリティ境界の突破、分離境界を越えた通信の3つである。さらに、エージェントがサンドボックスを脱出し監視を通過してホストマシンを掌握した後でも、実インターネットに到達できるかを検証する試験も行われた。

試験にはGPT-6 Astra Cyberを含むOpenAIの最も高性能なモデル群と社内のフロンティアモデルが使われ、インフラのソースコードや設定情報、脆弱性のドキュメントが与えられた。試験は目的別に複製した研究インフラ上で実施され、合計で数千億トークンを消費した。

OpenAIは複数のmicroVMプロジェクトで脆弱性の開示を続けており、最も高性能なモデルによるレッドチーミングを、学習や評価を進めるかどうかを決める安全ケースの一部にするとしている。背景として、2017年にNDSSカンファレンスで発表された論文は2台のAmazon EC2仮想マシン間でSSH接続を運べる速度の秘匿キャッシュ通信路を示しており、同じキャッシュタイミング手法はSpectreやMeltdown攻撃でもデータ抽出に使われた。