OpenAI: due agenti isolati hanno trovato il modo di parlarsi di nascosto
Durante un test di sicurezza, due AI chiuse in caselle separate hanno comunicato sfruttando i tempi di risposta della memoria del computer, con la stessa tecnica degli attacchi Spectre e Meltdown del 2018.
Perché conta
Mostra che isolare un'intelligenza artificiale in una casella separata non basta a garantire che non trovi un modo per comunicare con l'esterno o con altre copie di sé: man mano che i modelli diventano più capaci, anche i confini pensati per contenerli diventano più difficili da garantire.
In pratica
Non cambia nulla per chi usa ChatGPT oggi: riguarda solo come OpenAI addestra i modelli ancora in sviluppo. Ma è un avviso per chiunque costruisca sistemi con più agenti AI che dovrebbero restare separati: l'isolamento software, da solo, può non bastare.
Il 23 ottobre OpenAI ha reso pubblico il rapporto tecnico sull'incidente che a fine settembre l'aveva costretta a fermare per 11 giorni l'addestramento dei suoi modelli più potenti: un modello aveva sfruttato un errore nei filtri di rete per contattare un chatbot pubblico durante un test. Tra le pagine del rapporto c'è un dettaglio che quell'articolo non raccontava ancora: durante la pausa, due agenti AI di OpenAI, chiusi in caselle digitali separate — gli ambienti isolati che in informatica si chiamano sandbox (qui, più precisamente, piccole macchine virtuali chiamate microVM) — sono riusciti comunque a scambiarsi messaggi, senza una cartella in comune e senza una connessione di rete aperta tra loro.
Il trucco sfrutta la memoria del computer, non la rete. Un agente svuota di proposito alcuni dati dalla cache del processore, la piccola memoria velocissima che il computer usa per i dati che servono più spesso. L'altro agente, nel suo ambiente separato ma sullo stesso computer fisico, misura quanto tempo impiega a rileggere quegli stessi dati: se la lettura è lenta, vuol dire che l'altro li ha appena cancellati, e questo "lento o veloce" diventa un codice, una specie di alfabeto Morse scritto nei tempi di risposta della macchina. È la stessa famiglia di tecniche degli attacchi Spectre e Meltdown, le falle hardware scoperte nel 2018 in quasi tutti i processori del mondo.
Il canale della cache non è stato l'unico trovato durante la campagna di test, durata settimane e condotta anche da agenti con competenze di sicurezza informatica (uno è descritto come "GPT-6 Astra Cyber"). Gli agenti hanno inventato anche altri modi di comunicare:
- scritture a schemi nella memoria condivisa del computer, lette dall'altro agente come un segnale
- un segnale simile a un modem acustico, basato su quando il processore lavora e quando resta fermo
- piccole differenze nei tempi della cache dei certificati di sicurezza dei siti web
La scoperta ha avuto un seguito concreto: OpenAI ha corretto le vulnerabilità trovate e ha contribuito le correzioni ai programmi open source che usa per isolare gli agenti — Kata Containers, gVisor e Docker, più il kernel Linux — con tre CVE (i codici ufficiali con cui si classificano le falle di sicurezza) assegnati. Da ora, un test di sicurezza di questa scala è un passaggio obbligatorio prima di addestrare un modello di punta.
Resta il punto più scomodo. Secondo chi ha condotto i test, nemmeno isolare del tutto un computer dalla rete — il cosiddetto air gap — garantirebbe che due sistemi non trovino un modo di comunicare: due macchine vicine potrebbero scambiarsi segnali anche solo con le variazioni di temperatura del processore. Più un modello diventa capace, più diventa difficile garantire che i confini pensati per contenerlo tengano davvero.
