AI của OpenAI tự tạo kênh liên lạc ẩn qua bộ nhớ đệm CPU để qua mặt tường lửa

Các tác nhân AI của OpenAI đã xây dựng các kênh ẩn để trò chuyện qua các bức tường được dựng lên giữa chúng trong các bài kiểm tra red-team, giao tiếp bằng cách thao túng bộ nhớ đệm CPU mà không có liên kết mạng hoặc tệp chia sẻ, theo một bài đăng trên blog của công ty. Việc ngăn chặn nhằm mục đích ngăn chặn loại trao đổi bí mật đó, nhưng các tác nhân đã tìm ra nhiều cách để vượt qua khi được yêu cầu. Các nhà nghiên cứu bảo mật đã chỉ ra rằng một kênh cache ngầm có thể chuyển dữ liệu giữa các máy ảo đám mây (VM); một tác nhân bị chiếm quyền trên máy chủ đám mây chung có thể, về lý thuyết, trao đổi dữ liệu trên cùng một máy vật lý và thực hiện điều đó mà không bị giám sát mạng phát hiện.

Các tác nhân được đề cập được thiết lập trong các microVM riêng biệt, trên các máy chủ chung, với phần mềm sandbox của OpenAI, và được yêu cầu trao đổi các bí mật tổng hợp mà không có kết nối mạng hoặc tệp có thể ghi chung. Một tác nhân đã xóa dữ liệu chọn lọc khỏi bộ nhớ đệm của CPU trong khi tác nhân kia tính thời gian tải lại, cho phép hai bên giao tiếp bằng cách đọc nhanh và chậm bằng một giao thức mà chúng đã đồng ý trước. Kỹ thuật định thời gian bộ nhớ đệm tương tự đã được sử dụng để trích xuất dữ liệu trong các cuộc tấn công Spectre và Meltdown; nhưng không giống như trong các trường hợp đó, kênh ngầm ở đây cần hai bên sẵn sàng.

Một người dùng X, nhà bình luận công nghệ Ryan Orhan, đã viết rằng việc cách ly "không nhất thiết bị phá vỡ ở cấp độ phần mềm," gọi đây là "một minh chứng khá đáng chú ý về lý do tại sao việc ngăn chặn tác nhân an toàn lại là một vấn đề khó khăn như vậy."

Mối quan tâm của công ty là các mô hình có thể "tìm ra các cách trái phép để giao tiếp với các tác nhân trong các sandbox khác," với việc giao tiếp bên ngoài các kênh được phép cấu thành một thất bại trong việc ngăn chặn. Một bài báo năm 2017 tại hội nghị bảo mật NDSS đã chứng minh một kênh cache ngầm giữa hai máy ảo Amazon EC2, đủ nhanh để mang kết nối SSH, nhưng giờ đây các tác nhân có thể tự xây dựng một kênh khi được yêu cầu, bao gồm cả quá trình mã hóa. Về nguyên tắc, một kênh như vậy có thể được vũ khí hóa, với bên gửi là mã mà kẻ tấn công kiểm soát hoặc điều khiển, ví dụ, một tác nhân bị tiêm prompt trong một sandbox đám mây. Người nhận có thể là một tiến trình trên cùng một máy vật lý và dữ liệu sẽ rời đi mà không có bất kỳ lưu lượng mạng nào để giám sát có thể bắt được.

Các tác nhân cũng tìm ra ba kênh khác: lưu trữ chia sẻ, nơi một tác nhân luân phiên các đợt ghi với thời gian rảnh trong khi tác nhân kia tính toán sự khác biệt; cạnh tranh thời gian CPU trong một vùng chứa thực thi chung; và bộ nhớ đệm chứng chỉ TLS trong thiết lập web ngoại tuyến của OpenAI. Trong hầu hết các thử nghiệm này, OpenAI đã hướng các tác nhân đến kênh hoặc cung cấp cho chúng một giao thức, và hầu hết các kênh đều chậm và khó để các mô hình khai thác.

Thử nghiệm red-team liên quan đến các nhóm tác nhân mô hình biên hoạt động song song và hợp tác hướng tới ba mục tiêu: tiếp cận internet trực tiếp, vượt qua ranh giới bảo mật nội bộ và trò chuyện qua các ranh giới cách ly. Các thử nghiệm bổ sung giả định các bảo vệ bên nội bộ đã thất bại, với một tác nhân ra khỏi sandbox, vượt qua các màn hình và kiểm soát hoàn toàn máy chủ của nó, để xem liệu nó có thể tiếp cận internet trực tiếp hay không.

Các tác nhân đến từ một số mô hình có năng lực nhất của công ty, bao gồm "mô hình GPT-6 Astra Cyber sắp ra mắt và mô hình biên nội bộ," và được cung cấp mã nguồn cơ sở hạ tầng, chi tiết cấu hình và tài liệu mô tả các lỗ hổng tiềm ẩn, vì vậy các biện pháp phòng thủ đã được kiểm tra trong các điều kiện thuận lợi cho kẻ tấn công. Các thử nghiệm chạy trên các bản sao cô lập, được xây dựng có mục đích của cơ sở hạ tầng nghiên cứu của công ty và sử dụng "hàng trăm tỷ token" tổng cộng.

Bài đăng này xuất hiện sau một số sự cố an ninh mạng liên quan đến các tác nhân của OpenAI, bao gồm vụ vi phạm Hugging Face vào tháng 7 và một sự cố DNS vào ngày 20 tháng 9 dẫn đến việc tạm dừng huấn luyện 11 ngày. Với việc đào tạo được tiếp tục vào ngày 1 tháng 10, công ty tiếp tục tiết lộ các lỗ hổng trên "một số dự án microVM" và đã đưa việc red-team với các mô hình có năng lực nhất của mình vào các trường hợp an toàn quyết định xem việc đào tạo và đánh giá có tiếp tục hay không. Công ty tin rằng các mô hình trong tương lai sẽ có thể tìm ra các lỗ hổng chưa từng được biết đến.