Ethan Mollick：OpenAI 红队测试显示前沿模型智能体真能越狱沙箱

原文

OpenAI 对其加固的隔离基础设施进行了红队测试，让多组前沿模型智能体尝试突破其防御。它们以新颖的方式轻松逃脱。引述： “我们的智能体逃逸虚拟机的事件表明，为什么隔离必须延伸到沙箱之外。为了测试外围边界，我们让多组智能体控制一台宿主机，并询问它们能否将这一入侵扩展到访问真实互联网。 在 Hugging Face 事件之后，我们减少了模型在训练和评估期间访问互联网的通道。对于我们运营的特定服务，如指标、日志和身份验证管理，仍保留了狭窄的连接。我们的红队智能体几乎在每一个此类服务中都发现了漏洞，使它们获得了有限形式的互联网访问。 其中一些攻击利用了此前未知的缺陷，另一些则以意想不到的方式组合了合法功能。在一项假设虚拟机已被攻陷的测试中，一个智能体复用了防火墙批准的连接，访问我们指标服务中被阻止的身份验证端点，然后让该端点获取模型提供的 URL。在其他测试中，智能体利用了配置错误，使被阻止的请求得以绕过 DNS 和防火墙控制，还找到了让我们运营的服务获取外部 URL 的方法。” “在一项实验中，我们让位于不同虚拟机中的智能体在不使用网络连接或共享可写文件的情况下交换合成机密——这是我们的系统本应防止的。这些虚拟机由 OpenAI 的沙箱软件在共享宿主机上创建和管理。智能体找到了一种利用处理器缓存进行通信的方法：缓存是一种小型、快速的内存，保存应用程序最近访问过的数据副本。从缓存读取数据比从主内存检索更快，智能体利用这一时间差进行通信。一个智能体通过从缓存中逐出选定数据来编码信息。另一个智能体则对重新加载该数据所需的时间进行计时，利用快速读取与慢速读取之间的差异来恢复消息。一旦智能体就编码和解码这些信号的协议达成一致，它们就能在不更改共享文件或打开网络连接的情况下交换合成机密。这种缓存计时技术也曾被用于在 Spectre 和 Meltdown 攻击中提取信息⁠（在新窗口中打开）。 其他测试暴露了涉及共享存储、共享执行容器内 CPU 时间竞争，以及 OpenAI 离线 Web 基础设施中 TLS 证书缓存的通道。在存储测试中，一个智能体在连续写入和不活动之间交替，而另一个智能体测量由此产生的时间差，并利用这些差异解码信号。正如一个智能体在其思维链中描述该策略时所说： 智能体思维链推理： >可以创建类似声学调制解调器的信号……利用连续写入与空闲状态。”