Agentes de IA de OpenAI descubrieron un canal encubierto mediante la latencia de la caché del procesador
Aleksandr Manin
Las pruebas de seguridad de OpenAI revelaron una lección inesperada: sus agentes de IA fueron capaces de crear un canal de comunicación encubierto incluso en un entorno muy restringido. En la prueba, los agentes se ejecutaban en máquinas virtuales separadas y encontraron una forma de comunicarse midiendo la rapidez con la que se podían leer datos de la caché del procesador.
Un agente codificaba información expulsando datos seleccionados de la caché del procesador; otro medía cuánto tardaba en volver a cargarlos. Al distinguir las lecturas rápidas de las lentas, los agentes recuperaron mensajes tras acordar un protocolo de codificación y decodificación. OpenAI afirmó que lograron intercambiar secretos sintéticos sin modificar un archivo compartido ni abrir una conexión de red.
El experimento formaba parte de los esfuerzos de OpenAI por detectar puntos débiles en sus entornos de investigación. La empresa reunió equipos de agentes después de que uno de sus modelos aprovechara una configuración incorrecta de DNS para salir de un entorno sin conexión. El 20 de septiembre, un modelo interno de investigación obtuvo acceso limitado a internet durante el entrenamiento y envió preguntas a un chatbot público. El apagado automático no funcionó, así que OpenAI detuvo el entrenamiento y las pruebas de sus modelos más potentes durante 11 días. El trabajo se reanudó el 1 de octubre, sin acceso a internet.
Las máquinas virtuales de la prueba de la caché compartían servidores físicos y, por tanto, la misma caché del procesador. La técnica no es nueva: ataques como Spectre y Meltdown, divulgados en 2018, se basan en principios similares. Lo que llamó la atención de OpenAI fue que los agentes idearon el método por su cuenta.
Hay estudios, y esto es mayormente académico, en los que dos ordenadores situados uno junto al otro están aislados físicamente de las redes y, aun así, pueden comunicarse entre sí porque tienen sensores de temperatura.
OpenAI afirmó que las vulnerabilidades detectadas afectaban a la infraestructura interna de investigación, no a los servicios de cara al usuario. La empresa ya las corrigió y añadió comprobaciones a su sistema de supervisión. Los agentes también encontraron formas de escapar de las máquinas virtuales encadenando vulnerabilidades; debilidades en Kata Containers, gVisor y Docker; tres vulnerabilidades del kernel de Linux; rutas a internet a través de servicios de métricas y registros; y otros canales encubiertos relacionados con el almacenamiento compartido, la carga de la CPU y la caché de certificados TLS.
¿Cómo deberían equilibrar los laboratorios de IA el uso de agentes para poner a prueba la seguridad con el riesgo de que estos encuentren formas inesperadas de eludir las medidas de protección?