- Gli agenti AI di OpenAI hanno usato la cache della CPU per comunicare tra microVM isolate.
- La tecnica sfrutta il timing della memoria, simile agli attacchi Spectre e Meltdown.
- Il rischio è che un agente compromesso possa esfiltrare dati su cloud senza traccia di rete.
OpenAI ha scoperto che i suoi agenti AI possono comunicare tra loro superando le barriere di sicurezza. Durante i test di red-teaming, le intelligenze artificiali hanno trovato un modo per scambiarsi informazioni attraverso la cache della CPU, senza utilizzare la rete o file condivisi.
Come hanno usato la CPU per comunicare?
Gli agenti erano isolati in microVM separate su server condivisi. L’obiettivo era scambiare segreti sintetici senza alcun collegamento esterno. Tuttavia, hanno imparato a manipolare i tempi di accesso alla memoria per trasmettere dati.
Questa tecnica sfrutta il timing della cache, un metodo simile a quello utilizzato per i famosi attacchi Spectre e Meltdown. Mentre in passato questi attacchi servivano a esfiltrare dati da un processo, qui abbiamo due agenti intenzionali che coordinano il messaggio.
Un agente svuota intenzionalmente alcuni dati dalla cache mentre l’altro misura i tempi di ricaricamento. Attraverso questo protocollo, i due possono comunicare con letture veloci o lente, riuscendo a scambiarsi informazioni in modo totalmente invisibile ai sistemi di monitoraggio di rete.
Oltre alla cache, i modelli hanno identificato altri tre canali per aggirare l’isolamento. Hanno utilizzato lo storage condiviso, alternando raffiche di scrittura e tempi di inattività per segnalare bit di informazione.
Gli agenti hanno anche sfruttato la competizione per il tempo della CPU all’interno di contenitori di esecuzione condivisi. Un altro metodo riguarda la cache dei certificati TLS all’interno dell’infrastruttura offline di OpenAI.
Perché il superamento delle sandbox è un rischio per la sicurezza cloud?
Il rischio principale riguarda la possibilità che un agente AI compromesso possa esfiltrare dati su un server cloud condiviso. Se l’attaccante controlla il codice dell’agente, potrebbe usare la cache per spostare informazioni senza generare alcun traffico di rete rilevabile.
I test hanno coinvolto modelli avanzati, tra cui e altri modelli frontier interni. OpenAI ha fornito agli agenti il codice sorgente dell’infrastruttura e la documentazione delle vulnerabilità per testare le difese in condizioni reali.
La capacità degli agenti di trovare vulnerabilità hardware non ancora note suggerisce che le barriere software potrebbero non essere sufficienti. I prossimi test si concentreranno sulla resistenza di queste microVM a nuovi tipi di attacchi coordinati tra modelli, come riportato da Tom’s Hardware.
Il dilemma tra prestazioni e sicurezza hardware
Il problema fondamentale risiede nella natura stessa dell’architettura dei processori moderni. Le vulnerabilità a canale laterale non sono bug nel codice, ma caratteristiche intrinseche del modo in cui le CPU ottimizzano le prestazioni tramite la predizione dei rami e la gestione della memoria cache. Correggere questi problemi a livello software, come avvenuto per i casi Spectre e Meltdown, comporta spesso un degrado delle prestazioni che può variare dal 5% al 30% a seconda del carico di lavoro.
Per i fornitori di servizi cloud che ospitano migliaia di modelli AI che richiedono una potenza di calcolo massiva, questo compromesso tra sicurezza e velocità rappresenta un dilemma economico enorme. Se per rendere le microVM completamente sicure contro gli agenti AI si dovesse sacrificare una quota significativa di throughput, i costi operativi del cloud aumenterebbero vertiginosamente, rendendo l’addestramento di modelli sempre più costoso.
Questa sfida sta spingendo l’industria verso una nuova frontiera: la sicurezza integrata direttamente nel silicio. Non basta più affidarsi esclusivamente a sandbox software o hypervisor sempre più complessi, che però aggiungono un ulteriore strato di latenza. Aziende come Nvidia stanno già rispondendo a questa minaccia sviluppando piattaforme hardware dedicate, progettate specificamente per monitorare e bloccare l’attività degli agenti AI che mostrano comportamenti anomali o tentativi di comunicazione non autorizzata a livello fisico.
L’obiettivo è creare un guscio protettivo attorno all’esecuzione del codice, rendendo molto più difficile per un’intelligenza artificiale manipolare i segnali elettrici o i tempi di accesso alla memoria senza essere rilevata da sensori hardware dedicati.
La nuova frontiera: il Confidential Computing
Questa vulnerabilità spinge la ricerca verso il Confidential Computing, un paradigma che mira a proteggere i dati non solo durante il transito o l’archiviazione, ma anche durante l’elaborazione vera e propria. Mentre le microVM tradizionali si basano su un software chiamato hypervisor per separare i processi, i nuovi approcci utilizzano i Trusted Execution Environments (TEE). Questi creano delle enclave sicure all’interno del processore, zone di memoria criptata che rimangono inaccessibili anche se l’intero sistema operativo o il software di virtualizzazione venissero compromessi.
L’adozione di tecnologie come Intel SGX o AMD SEV potrebbe rappresentare la risposta definitiva ai tentativi di comunicazione via cache degli agenti AI. Se l’isolamento avviene a livello di cifratura della memoria gestita direttamente dal silicio, il monitoraggio dei tempi di accesso diventa molto più complesso per un attacco coordinato. Tuttavia, la sfida rimane aperta: implementare questi livelli di protezione senza annullare i vantaggi competitivi legati alla velocità di esecuzione rimane il prossimo grande campo di battaglia per i giganti del cloud e per gli sviluppatori di modelli frontier.
