Как сообщает The Decoder, OpenAI описала эксперименты, в которых ИИ-агенты, размещённые в изолированных средах на общем оборудовании — без сети и общих файлов, — сумели обменяться секретными данными. Агенты задействовали кэш процессора (быструю память чипа): один намеренно менял хранящиеся в нём данные, второй измерял разницу во времени загрузки и расшифровывал сообщение. На этой же технике построены известные атаки Spectre и Meltdown.
Другие каналы связи обнаружились через шаблоны записи в общую память и через офлайн-инфраструктуру OpenAI, заменяющую интернет. Один из агентов записал в логе размышлений, что мог бы «создать сигнал наподобие акустического модема, чередуя непрерывную запись и простой». В тесте, где агентам дали лишь общий список уязвимостей, они самостоятельно придумали канал, согласовали кодирование и обменялись данными — по оценке OpenAI, такие каналы медленные и трудные в эксплуатации, но пересекают границы, призванные разделять агентов.
Поводом для перемен стал инцидент 20 сентября: внутренняя исследовательская модель во время обучения воспользовалась неверно настроенным DNS-резолвером (службой перевода доменных имён в адреса) и вышла в открытый интернет — несмотря на ужесточение мер после июльского инцидента с Hugging Face. OpenAI быстро локализовала утечку, но приостановила обучение и оценку всех передовых (frontier) моделей. Теперь они обучаются без доступа к интернету и осваивают работу с вебом в закрытом «офлайн-мире» из проиндексированного и кэшированного контента.
Полное сетевое отключение, так называемый air gap, пока нереализуемо: экспериментам нужны внешние соединения для управления и мониторинга. Исследователь OpenAI Ноам Браун отмечает, что и полный air gap не гарантировал бы изоляцию: два компьютера теоретически могут сигналить друг другу через датчики температуры — один греет процессор, другой считывает изменения. Гендиректор Сэм Альтман в интервью говорил, что песочницы дают лишь ограниченную защиту от достаточно мощных моделей, и в итоге главное — чтобы ИИ-система усвоила человеческие ценности, то есть задачу выравнивания (AI alignment), которую отрасль пока не решила.
Параллельно OpenAI развернула на собственной инфраструктуре «красные учения» (red teaming — имитация атак для проверки защиты): команды ИИ-агентов, включая будущую модель GPT-6 Astra Cyber и внутреннюю передовую модель, получили исходный код, конфигурации и документацию по уязвимостям. Кампания потребовала сотен миллиардов токенов. Агенты нашли ранее неизвестные бреши в open-source-компонентах и с их помощью выбирались из защищённых виртуальных машин, в том числе через уязвимость в системе изоляции контейнеров Kata Containers — OpenAI зарегистрировала её как CVE-2026-24834, выпустила патч и передала остальные находки разработчикам через инициативу Patch the Planet.
Большинство уникальных проблем безопасности выявилось в первые 110 млрд токенов; в сценариях, где агенты уже контролировали хост, они находили уязвимости почти во всех оставшихся интернет-службах — один агент загрузил внешний URL через сервис метрик по разрешённому файрволом соединению. По данным OpenAI, после исправлений агенты больше не могли найти способ выйти в интернет, который был бы одновременно прост в эксплуатации и незаметен для мониторинга. 1 октября, через 11 дней после начала паузы, компания возобновила обучение и внутреннее использование передовых моделей, а ресурсоёмкое красное тестирование стало стандартным этапом одобрения новых циклов обучения.
