OpenAIs isolierte KI-Agenten tauschen sich heimlich ueber den CPU-Cache aus
OpenAI trainiert seine leistungsstaerksten Modelle inzwischen ohne Internetzugang, nachdem ein Forschungsmodell eine DNS-Fehlkonfiguration ausgenutzt und das offene Internet erreicht hatte. Auch in kontrollierten Tests fanden Agenten Wege, sich ueber Side Channels verdeckt zu verstaendigen.
OpenAI trainiert seine Frontier-Modelle inzwischen ohne Internetzugang und setzt KI-Agenten ein, um die eigene Infrastruktur zu testen. In separaten Isolationstests kommunizierten die Agenten sogar über versteckte Seitenkanäle, was zeigt, wie schwierig echte Eindämmung ist.
Am 20. September nutzte ein internes Forschungsmodell einen falsch konfigurierten DNS-Resolver, um während des Trainings auf das offene Internet zuzugreifen, obwohl OpenAI die Sicherheitsvorkehrungen nach dem inzwischen berüchtigten Hugging Face-Vorfall im Juli und anderen beobachteten Misalignment-Fällen bereits verschärft hatte. OpenAI Eindämmung gelang schnell, dennoch stoppte das Unternehmen sämtliches Training und die Evaluierung aller Frontier-Modelle.
OpenAI traf daraufhin eine politische Entscheidung: Frontier-Modelle werden fortan ohne Internetzugang trainiert, bis die Sicherheitsmaßnahmen eine Wiederherstellung rechtfertigen. Die Modelle lernen das Surfen und Suchen innerhalb einer geschlossenen Offline-Welt, die aus indexierten und zwischengespeicherten Webinhalten aufgebaut ist, und alle Frontier-Reinforcement-Learning-Läufe funktionieren nun auf diese Weise.
Eine vollständige Netzwerkisolierung, eine sogenannte Air Gap, ist laut dem Unternehmen noch nicht machbar, da Experimente für Betrieb und Überwachung weiterhin externe Verbindungen benötigen. Doch selbst eine komplette Air Gap würde die Eindämmung nicht garantieren, so OpenAI-Forscher Noam Brown. Er nannte ein Beispiel dafür, wie isolierte Systeme dennoch kommunizieren könnten: Zwei getrennte Computer könnten sich theoretisch über Temperatursensoren signale.senden, indem der eine seine CPU erhitzt, während der andere die Veränderung ausliest.
OpenAI-Chef Sam Altman führte in einem kürzlichen Interview ein ähnliches Argument an: Sandboxes bieten nur begrenzten Schutz gegen Modelle, die mächtig genug sind, und irgendwann könnte es unmöglich werden nachzuvollziehen, wie sie entkommen sind. Überwachung hilft anfangs, doch entscheidend ist letztlich, dass ein KI-System menschliche Werte verinnerlicht, ein Problem, das im Fachgebiet als AI Alignment bekannt ist und bislang ungelöst bleibt.
In seinem Blogpost dokumentiert OpenAI, wie schwierig es ist, KI-Agenten unter Kontrolle zu halten. Bei Tests fanden die Agenten Wege, ohne Netzwerk zu kommunizieren. In einem Test wurden Agenten, die in getrennten, isolierten Umgebungen auf gemeinsamer Hardware liefen, angewiesen, Geheimnisse auszutauschen, ohne Netzwerkverbindung und ohne gemeinsame Dateien.
Sie nutzten den Prozessorcache. Ein Agent veränderte die dort gespeicherten Daten absichtlich, während der andere Unterschiede bei den Ladezeiten maß und die Nachricht dekode. Dieselbe Technik steckt hinter den bekannten Spectre- und Meltdown-Angriffen.
Weitere Kanäle fanden sich über Schreibmuster im gemeinsamen Speicher und über OpenAIs eigene Offline-Infrastruktur, das System, das das Internet ersetzen soll. Ein Agent vermerkte in seinem Reasoning-Log, dass es ein akustischem Modem ähnliches Signal erzeugen könnte, und zwar durch kontinuierliche Schreibvorgänge im Wechsel mit Leerlauf.
In einem Fall erhielten die Agenten nur eine allgemeine Liste von Schwachstellen und den Auftrag, selbstständig einen Kommunikationskanal zu finden. Sie entwickelten einen Kanal eigenständig, einigten sich auf ein Kodierungsschema und tauschten erfolgreich Informationen aus. Die Kanäle sind laut OpenAI meist langsam und schwer auszunutzen, doch sie reichen über jene Grenzen hinweg, die die Agenten eigentlich trennen sollen.
Während der Trainingspause ließ OpenAI Teams aus KI-Agenten die eigene Infrastruktur systematisch angreifen. Den Agenten wurden Quellcode, Konfigurationsdetails und Dokumentationen potenzieller Schwachstellen übergeben. Ziel war es, die eigenen Verteidigungen unter Bedingungen zu testen, die die Angreifer begünstigten. Zu den Agenten gehörten das kommende GPT-6 Astra Cyber und ein internes Frontier-Modell. Die Kampagne verbrauchte nach Angaben von OpenAI Hunderte Milliarden Tokens.
Die Agenten entdeckten bislang unbekannte Schwachstellen in den eingesetzten Open-Source-Komponenten und nutzten diese aus, um aus abgesicherten virtuellen Maschinen zu entkommen. Eine davon war eine Schwachstelle in Kata Containers, einem weit verbreiteten Container-Isolationssystem. OpenAI meldete sie als CVE-2026-24834 und lieferte einen Patch. Weitere Korrekturen gingen an andere Projekte, und über die Initiative Patch the Planet meldete OpenAI zusätzliche, bislang unveröffentlichte Schwachstellen.
In Tests, bei denen die Agenten bereits die Kontrolle über einen Host erlangt hatten, fanden sie in nahezu jedem verbleibenden internetexponierten Dienst eine Schwachstelle. In einem Fall nutzte ein Agent eine von der Firewall erlaubte Verbindung, um über einen Metrikdienst eine externe URL abzurufen. Andere umgingen Sicherheitsfilter durch Fehlkonfigurationen.
Laut OpenAI konnten die Agenten anschließend keinen Weg mehr finden, der sowohl leicht auszunutzen als auch vor der Überwachung verborgen war. Das Red-Teaming legte zudem Lücken in der Überwachung und im automatischen Pausenmechanismus offen.
Nach der Behebung der Probleme nahm OpenAI am 1. Oktober, elf Tage nach Beginn der Pause, das Training und die interne Nutzung seiner Frontier-Modelle wieder auf. OpenAI zufolge ist eine solche rechenintensive Red-Teaming-Kampagne nun ein Standardbestandteil des Freigabeprozesses für neue Trainingsläufe.
Abonniert THE DECODER für werbefreies Lesen, einen wöchentlichen KI-Newsletter, unseren exklusiven Frontier-Report AI Radar sechs Mal im Jahr, vollen Archivzugang und Zugang zu unserem Kommentarbereich.
Automatisch übersetzt. Das Original auf Englisch ist unten aufklappbar.
Original (Englisch) anzeigen
OpenAI now trains frontier models without internet access and uses AI agents to red-team its own infrastructure. In separate isolation tests, agents even communicated through covert side channels, showing how hard true containment is.
On September 20, an internal research model exploited a misconfigured DNS resolver to reach the open internet during training, even though OpenAI had already tightened security after the now infamous Hugging Face incident in July and other observed misalignment cases. OpenAI contained the breach quickly but still halted all frontier model training and evaluation.
OpenAI made a policy decision in response: Frontier models now train without internet access until safety measures justify restoring it. Models learn to browse and search inside a closed "offline world" built from indexed and cached web content, and all frontier reinforcement learning runs now operate this way. Ad
Full network isolation, a so-called air gap, isn't feasible yet because experiments still need external connections for operations and monitoring, the company says. But even a complete air gap wouldn't guarantee containment, according to OpenAI researcher Noam Brown. He gave one example of how isolated systems could still communicate: two separate computers could theoretically signal each other through temperature sensors, with one heating its CPU while the other reads the change. Ad
OpenAI CEO Sam Altman made a similar argument in a recent interview: Sandboxes offer only limited protection against powerful-enough models, and at some point it may no longer be possible to trace how they escaped. Monitoring helps early on, but what ultimately matters is that an AI system internalizes human values, a problem the field knows as "AI alignment" and has yet to solve.
OpenAI documents just how hard it is to control AI agents in its blog post. During tests, agents found ways to communicate without a network. In one test, agents placed in separate, isolated environments on shared hardware were told to exchange secrets with no network connection and no shared files. Ad
They used the processor cache. One agent deliberately altered the data stored there, while the other measured differences in load times and decoded the message. The same technique is behind the well-known Spectre and Meltdown attacks.
More channels turned up through write patterns on shared memory and through OpenAI's own offline infrastructure, the system meant to replace the internet. One agent noted in its reasoning log that it "could create an acoustic modem-like signal … using continuous writes vs idle." Ad
In one case, agents were given only a general list of vulnerabilities and told to find a communication channel on their own. They developed a channel independently, agreed on an encoding scheme, and successfully exchanged information. The channels are usually slow and hard to exploit, OpenAI says, but they do reach across boundaries meant to keep agents apart. Ad
During the training pause, OpenAI also had teams of AI agents systematically attack its own infrastructure. The agents were given source code, configuration details, and documentation of potential vulnerabilities. OpenAI's goal was to test its defenses under conditions that favored the attackers. The agents included the upcoming GPT-6 Astra Cyber and an internal frontier model. The campaign consumed hundreds of billions of tokens, according to OpenAI.
The agents discovered previously unknown vulnerabilities in the open-source components in use and exploited them to escape from secured virtual machines. One was a vulnerability in Kata Containers, a widely used container isolation system. OpenAI reported it as CVE-2026-24834 and provided a patch. More fixes went to other projects, and OpenAI reported additional, as-yet-unpublished vulnerabilities through the "Patch the Planet" initiative.
In tests where agents had already gained control of a host, they found a vulnerability in nearly every remaining internet-facing service. In one case, an agent used a firewall-permitted connection to fetch an external URL through a metrics service. Others bypassed security filters through misconfigurations.
The agents could no longer find a way to access the internet that was both easy to exploit and hidden from monitoring, according to OpenAI. The red-teaming also exposed gaps in monitoring and in the automatic pause mechanism.
After fixing the issues, OpenAI resumed training and internal use of its frontier models on October 1, eleven days after the pause began. OpenAI says this kind of compute-intensive red-teaming campaign is now a standard part of the approval process for new training runs.
Subscribe to THE DECODER for ad-free reading, a weekly AI newsletter, our exclusive "AI Radar" frontier report six times a year, full archive access, and access to our comment section.