OpenAI 发现 Agent 可借 CPU 缓存跨 VM 隐蔽通信

2026/10/24 06:59

实验事实：据被引的 OpenAI 研究人员描述，实验中让运行于共享主机不同 VM 的 Agent（由 OpenAI 沙箱软件创建与管理）交换合成秘密，在禁用网络连接与共享可写文件的条件下——这正是其系统本应阻止的——Agent 仍找到了通过处理器缓存通信的方法。
攻击机理：Vercel CEO Guillermo Rauch 将其定性为“noisy neighbor”攻击——同一台机器上的两个 Agent，一个可通过 CPU 缓存制造足够噪声，另一个则通过计时自身的计算与缓存访问来检测并解码。
历史与硬约束：Rauch 指出，这类针对共享主机 VM 的时序攻击至少自 2015 年已有公开记录，至今没有完整解决方案；唯一“彻底”的方案是让每个 Agent 运行在专用硬件上，但这会带来显著的经济代价。
防御现状：Vercel 称其 Sandbox 已部署针对该类攻击的全部实际缓解措施，并辅以持续监控与红队测试，“与 OpenAI 得出的结论类似”。
行业意义：Agent 沙箱的隔离边界不只是 CPU/内存配额与文件系统，还包括缓存侧信道。当多租户 Agent 运行时成为基础设施标配，共享主机上的隐蔽通信能力会直接影响隔离承诺的实际强度，也把“专用硬件”重新拉回安全与成本的权衡表——尤其对按毫秒计费、依赖高密度复用的沙箱服务而言。