Thomas Wolf：复现 OpenAI 智能体隐蔽通信研究时开放权重模型比闭源模型更能胜任
Thomas Wolf 转评开发者 Guillermo Rauch 的 cpu-chat 复现项目，该项目在多个 Firecracker microVM 之间通过 CPU 争用、缓存逐出时序和 DRAM 带宽争用三种机制实现智能体隐蔽通信，绕过了 Firecracker 的生产建议。
Thomas Wolf· @Thom_Wolf · X·2026-10-27 06:05· 45 分钟前AI 评分65
AI 导读
Thomas Wolf 转评开发者 @rauchg 的 cpu-chat 复现项目，该项目在多个 Firecracker microVM 之间通过 CPU 争用、缓存逐出时序和 DRAM 带宽争用三种机制实现智能体隐蔽通信，绕过了 Firecracker 的生产建议。作者指出 OpenAI 与 Anthropic 的模型拒绝协助这类工作，最终由开放权重模型完成复现，认为保持智能体受控属于安全工作，开放模型有助于构建正确的沙箱隔离。
正文 · 原文
“ironically, OpenAI and Anthropic’s models refused to do this work. Open weight models got the job done”
OpenAI found agents could talk covertly through shared hardware. reproducing it to build better containment took an open-weight model
keeping agents contained is safety work, and open models can help do it
我构建了 𝚌𝚙𝚞-𝚌𝚑𝚊𝚝，这是对 @openai 关于利用 CPU 进行隐蔽通信研究结果的复现。 它运行在一台通用主机上，配有 2 个以上无法访问互联网的 Firecracker microVM。可在 x86 上运行，甚至在我的 M5 芯片上也能运行。 我能够通过 3 种独立机制进行聊天： ① CPU 争用 ② 缓存逐出时序 ③ DRAM 带宽争用 ……跨越多个 CPU，击败了 Firecracker 的所有生产建议（无 SMT、无 KSM、租户固定到不同核心）。 本质上，只要涉及共享硬件，你的智能体就很有可能进行隐蔽通信。而且延迟相当不错。 好消息是：这与*侧信道攻击*截然不同，后者中智能体可以窃取信息（Meltdown/Spectre），而 Vercel Sandbox 等提供商可以缓解这一类攻击。此外，在我们的真实环境中，这些“窃窃私语”技术更难实施，也更容易被我们监控和检测（采样硬件计数器 + 大量规模化统计数据）。 值得注意的是：讽刺的是，OpenAI 和 Anthropic 的模型拒绝做这项工作。开放权重模型完成了任务。我担心实验室的立场可能会适得其反，妨碍帮助开发者构建正确且安全的系统。例如：构建安全沙箱需要这类分析，没有它，我们的世界将变得不那么安全。在 X 查看被引用的帖子
来源：Thomas Wolf · x.com
来源：RadarAI · aihot.news