OpenAI berichtet von einem kontrollierten Red-Team-Test, in dem zwei KI-Agenten in getrennten microVMs über den CPU-Cache synthetische Geheimnisse austauschten. Die virtuellen Maschinen liefen auf demselben Host; für den Austausch standen ihnen weder Netzwerkverbindungen noch gemeinsam beschreibbare Dateien zur Verfügung.
Wie der Cache-Kanal funktionierte
Ein Agent verdrängte gezielt ausgewählte Daten aus dem CPU-Cache. Der andere maß, wie lange es dauerte, diese Daten erneut zu laden. Anhand der unterschiedlichen Zugriffszeiten und eines vereinbarten Protokolls konnte er die übermittelte Information decodieren. Der Cache, ein schneller Zwischenspeicher des Prozessors, wurde so zum gemeinsamen Signalweg.
OpenAI veröffentlichte den Bericht über den Versuch am 23. Oktober 2026. Das Unternehmen beschreibt darin einen Austausch synthetischer Geheimnisse zwischen Agenten, die in separaten microVMs auf gemeinsam genutzter Hardware liefen.
Welche Aufgabe die Agenten erhielten
OpenAI gab den Agenten für diesen Versuch den Auftrag, synthetische Geheimnisse auszutauschen. Für die Red-Team-Kampagne stellte das Unternehmen außerdem Quellcode der Infrastruktur, Konfigurationsdetails und Dokumentation zu Schwachstellen bereit. Damit sollte getestet werden, wie sich die Schutzmaßnahmen unter für Angreifer günstigen Bedingungen verhalten.
Was der Versuch über Isolation aussagt
Der Cache-Test betraf die Kommunikation über Isolationsgrenzen hinweg. OpenAI führte Host-Ausbrüche und den Zugriff auf das Live-Internet als eigene Prüffelder der Kampagne auf. Das Unternehmen ordnet Cache-Timing-Techniken in eine bereits bekannte Sicherheitsgeschichte ein und nennt Spectre und Meltdown als Beispiele für frühere Einsätze.
Weitere geprüfte Kanäle nutzten Zeitunterschiede bei gemeinsamem Speicher, Konkurrenz um CPU-Zeit in einem gemeinsamen Ausführungscontainer und einen TLS-Zertifikat-Cache. OpenAI zufolge übermittelten die meisten getesteten Kanäle Informationen langsam und waren für Modelle schwer auszunutzen.
OpenAI erklärte, zusätzliche Überwachungsprüfungen eingebaut zu haben, um Kommunikationsversuche über solche Seitenkanäle zu erkennen.
