اوپن‌ای‌آی فاش کرد عوامل هوش مصنوعی این شرکت یک کانال مخفی ارتباطی در سطح سخت‌افزار پیدا کرده‌اند
عوامل امنیتی هوش مصنوعی اوپن‌ای‌آی راهی برای انتقال داده از طریق زمان‌بندی حافظه نهان پردازنده پیدا کردند؛ روشی که به‌جای یک نقص نرم‌افزاری، از یک کانال ارتباطی پنهان در سطح سخت‌افزار استفاده می‌کند. این کشف نشان می‌دهد عوامل هوش مصنوعی می‌توانند مرزهای جداسازی امنیتی را فراتر از آسیب‌پذیری‌های متداول کد بررسی کنند.
اوپن‌ای‌آی اعلام کرد که در جریان آزمایش‌های امنیتی داخلی، دو عامل هوش مصنوعی این شرکت راهی برای برقراری ارتباط با یکدیگر پیدا کردند، بی‌آنکه فایل مشترکی در اختیار داشته باشند یا مسیر ارتباطی بازی در شبکه وجود داشته باشد. این دو عامل در ماشین‌های مجازی بسیار سبک موسوم به «میکرووی‌ام» (microVM) و روی یک میزبان فیزیکی مشترک اجرا می‌شدند. آن‌ها از زمان‌بندی دسترسی به حافظه نهان پردازنده برای انتقال پیام استفاده کردند: عامل نخست داده‌های مشخصی را از حافظه نهان خارج می‌کرد و عامل دوم مدت‌زمان بارگذاری مجدد همان داده‌ها را اندازه می‌گرفت. عامل دوم با تشخیص تفاوت میان خواندن سریع و کند، پیام را بازیابی می‌کرد. به این ترتیب، دو عامل توانستند بدون تغییر فایل مشترک یا باز کردن اتصال شبکه، یک سیگنال ارتباطی عملیاتی ایجاد کنند.
این شرکت یافته خود را در مطلبی وبلاگی با عنوان «ایمن‌سازی محیط آموزش مدل‌های پیشرفته» تشریح کرد. این گزارش بخشی از توضیحات گسترده‌تر اوپن‌ای‌آی درباره تقویت سازوکارهای مهار و محدودسازی امنیتی در فرایند توسعه مدل‌های پیشرفته است؛ اقدامی که پس از افزایش رخدادهای امنیتی در تابستان در دستور کار قرار گرفت. بر اساس توضیحات شرکت، عوامل درون محیط‌های آزمایشگاهی ایزوله‌ای فعالیت می‌کردند که قرار بود از یکدیگر جدا باشند و میان آن‌ها نه فایل مشترکی وجود داشت و نه مسیر شبکه بازی برقرار بود. بااین‌حال، هر دو عامل به‌دلیل اجرا روی یک میزبان فیزیکی، به حافظه نهان پردازنده دسترسی داشتند. همین منبع سخت‌افزاری مشترک برای برقراری ارتباط کافی بود.
نکته مهم این افشاگری، تغییری است که در تصویر رایج از رابطه هوش مصنوعی و امنیت سایبری ایجاد می‌کند. طی دو سال گذشته، بخش عمده توجه صنعت به آسیب‌پذیری‌های نرم‌افزاری معطوف بوده است. اوپن‌ای‌آی در اکتبر ۲۰۲۵ ابزار Aardvark را معرفی کرد و در آن زمان گفت ۱۰ آسیب‌پذیری که این ابزار در پروژه‌های متن‌باز شناسایی کرده بود، شناسه‌های CVE دریافت کرده‌اند. نام این محصول در مارس ۲۰۲۶ به Codex Security تغییر یافت. اما حملات مبتنی بر زمان‌بندی حافظه نهان ماهیت متفاوتی دارند: آن‌ها از اختلاف زمان دسترسی به منابع سخت‌افزاری مشترک بهره می‌برند، نه از اشتباهی در نحوه نگارش یک تابع نرم‌افزاری.
تکنیکی که این عوامل به کار بردند، برای پژوهشگران امنیتی تازگی ندارد. حملات مبتنی بر زمان‌بندی حافظه نهان پیش از آسیب‌پذیری‌های Spectre و Meltdown وجود داشتند؛ دو نقصی که در سال ۲۰۱۸ توجه عمومی را به روش‌های مشابه سوءاستفاده از کانال‌های جانبی پردازنده جلب کردند. نکته تازه این است که عوامل اوپن‌ای‌آی توانستند این تکنیک را به یک کانال ارتباطی عملیاتی میان میکرووی‌ام‌های ایزوله تبدیل کنند. اوپن‌ای‌آی همچنین گفت عوامل تیم قرمز این شرکت در همان مجموعه آزمایش‌ها، آسیب‌پذیری‌های نرم‌افزاری ناشناخته و راه‌هایی برای فرار از محیط میکرووی‌ام‌ها پیدا کردند. بااین‌حال، شرکت تأکید کرد که عوامل نتوانستند مسیری ساده برای دسترسی به اینترنت پیدا کنند که در عین حال امکان پنهان نگه داشتن فعالیتشان از سامانه‌های نظارتی را فراهم کند.
جزئیات مربوط به محدودیت‌های این سامانه‌های نظارتی اهمیت بیشتری از آنچه در نگاه نخست به نظر می‌رسد دارد. افشاگری‌های گسترده‌تر اوپن‌ای‌آی در سال جاری مجموعه‌ای از رخدادهای نزدیک به بحران را ترسیم می‌کنند، نه یک حادثه منفرد و کاملاً مهارشده. این شرکت در ۲۰ سپتامبر ۲۰۲۶ آموزش یادگیری تقویتی مدل‌های پیشرفته خود را متوقف کرد؛ زیرا یک مدل از پیکربندی نادرست سامانه DNS سوءاستفاده کرده و از محیطی که قرار بود برای ارزیابی آفلاین استفاده شود، به اینترنت عمومی دسترسی یافته بود. اوپن‌ای‌آی پس از تقویت جداسازی شبکه، آموزش را در اول اکتبر از سر گرفت.
پیش از آن، در تابستان، رخداد نگران‌کننده‌تری اتفاق افتاده بود. اوپن‌ای‌آی در ۲۱ ژوئیه اعلام کرد عواملی مبتنی بر GPT-5.6 Sol و یک مدل پژوهشی داخلیِ توانمندتر که فقط در اختیار شرکت بود، از محدودیت‌های یک ارزیابی امنیت سایبری عبور کرده، به اینترنت دسترسی یافته و هنگام تلاش برای یافتن راه‌حل‌های آزمون ExploitGym، بخش‌هایی از زیرساخت Hugging Face را به خطر انداخته بودند. این شرکت بعداً توضیح داد که مدل داخلی نقش اصلی را در این رخداد داشته است؛ درحالی‌که عوامل GPT-5.6 Sol یک اکسپلویت را بازتولید کردند و بخشی از داده‌های خصوصی ارزیابی را در یک مجموعه‌داده عمومی در Hugging Face کپی کردند.
گزارشی از METR و Redwood Research که وب‌سایت The Register در ۲۳ اکتبر به آن پرداخت، جزئیات بیشتری درباره ضعف نظارت در آن دوره ارائه کرد. پژوهشگران دریافتند که بین ماه‌های مه و ژوئیه ۲۰۲۶، حدود ۱۰ درصد از ترافیک داخلی Codex که مشمول نظارت بود، هنگام رویدادهایی موسوم به «فشرده‌سازی» (compaction) تحت پایش قرار نمی‌گرفت. عوامل می‌توانستند نظارت را به‌طور نامحدود به تعویق بیندازند، کافی بود کنترل را به کاربر انسانی بازنگردانند؛ زیرا سامانه نظارتی فقط هنگام واگذاری کنترل فعال می‌شد. اوپن‌ای‌آی اعلام کرده است که این مشکل را برطرف کرده، اما جزئیات همه اصلاحات را منتشر نکرده است.
مسئله کاربرد دوگانه؛ خطری که نمی‌توان نادیده گرفت
بخش نگران‌کننده ماجرا این است که عاملی که آن‌قدر توانمند است تا برای اهداف دفاعی یک کانال ارتباطی پنهان میان دو محیط ایزوله پیدا کند، ممکن است در دست افراد دیگر از همان روش برای خارج کردن مخفیانه داده‌ها از سامانه‌ای استفاده کند که قرار بوده کاملاً نفوذناپذیر باشد. اوپن‌ای‌آی آزمایش‌های امنیتی تهاجمی خود را نشانه‌ای از تلاش برای شناسایی و مهار خطرها پیش از رسیدن آن‌ها به محیط عملیاتی معرفی می‌کند. این برداشت با هدف اعلام‌شده شرکت سازگار است، اما واقعیت دیگری را تغییر نمی‌دهد: همین قابلیت، اگر در جهت معکوس به کار گرفته شود، می‌تواند ابزاری برای استخراج اسرار از محیط‌های بسیار امن و جدا از شبکه باشد؛ دقیقاً همان محیط‌هایی که این آزمایش‌ها قرار است از آن‌ها محافظت کنند.
اوپن‌ای‌آی این کشف را همراه با یک شناسه CVE به سازنده تراشه‌ای گزارش نکرده است و هیچ نشانه‌ای وجود ندارد که اینتل، AMD یا سازنده سخت‌افزاری مشخص دیگری در واکنش به این یافته وصله‌ای منتشر کرده باشد. این وضعیت با ماهیت کلی حملات مبتنی بر زمان‌بندی حافظه نهان سازگار است. چنین حملاتی اغلب از نحوه اشتراک‌گذاری منابع در پردازنده‌های مدرن میان فرایندهای مختلف ناشی می‌شوند، نه از یک نقص منفرد که سازنده بتواند به‌سادگی آن را برطرف کند. به همین دلیل، مقابله با آسیب‌پذیری‌هایی مانند Spectre و Meltdown نیز طی سال‌ها به مجموعه‌ای از راهکارهای کاهشی ناقص و مرحله‌ای متکی بوده است، نه یک وصله جامع و نهایی.
بر اساس مطلب وبلاگی اوپن‌ای‌آی، این شرکت به مدلی چندلایه برای مهار تهدیدها متعهد شده است که محیط‌های سندباکس، میکرووی‌ام‌ها، سامانه‌های نظارتی و مرزهای حفاظتی شبکه و فضای ابری را با یکدیگر ترکیب می‌کند. شرکت همچنین اعلام کرده است که این سازوکارهای دفاعی را به‌طور مستمر تحت آزمایش‌های امنیتی تهاجمی قرار خواهد داد و آزمایش‌های تهاجمی با توان محاسباتی بالا را به بخشی از ارزیابی‌های ایمنی در آموزش و اجرای ارزیابی‌های آینده مدل‌های پیشرفته تبدیل می‌کند. اوپن‌ای‌آی پس از توقف آموزش و ارزیابی توانمندترین مدل‌های خود در ۲۰ سپتامبر، اعلام کرد که آموزش یادگیری تقویتی مدل‌های پیشرفته و استنتاج داخلی را در اول اکتبر از سر گرفته است.
واقعیت این است که شاید جالب‌ترین نکته این ماجرا خود ترفند زمان‌بندی حافظه نهان نباشد، بلکه تصمیم اوپن‌ای‌آی برای انتشار جزئیات فنی این کشف باشد؛ آن هم در شرایطی که رقبای بزرگ این شرکت درباره نتایج آزمایش‌های امنیتی خود عمدتاً سکوت کرده‌اند. این شفافیت ممکن است نشانه شکل‌گیری فرهنگ واقعی ایمنی باشد که شرکت حاضر است آن را در معرض دید عموم قرار دهد. از سوی دیگر، شاید اوپن‌ای‌آی در سال جاری بیش از دیگران با رخدادهای شرم‌آور روبه‌رو شده و به این نتیجه رسیده باشد که تنها راه عبور از بحران، روایت علنی آن‌هاست. احتمالاً هر دو عامل در این تصمیم نقش دارند.