两台机器关在同一台宿主机上，各自一个 microVM。没有对外的网卡出口，没有共享可写目录，进程之间连对方存不存在都不该知道。OpenAI 的红队让它们把一串数据传了出去，用的是两边共用的那块 CPU 最后一级缓存。

10 月 23 日，OpenAI 发布《Securing our frontier model training environment》。10 月 24 到 26 日，The Decoder、Tom’s Hardware 和一批中文媒体把它推上当日热榜。多数转述停在“AI 学会用缓存偷传数据”这一句。这话没错，但它盖住了更难的问题：当我们说一个东西“不许说话”时，到底有没有能力让它真说不出话。

今天还值得看一眼的

• 谷歌开源 Harness²，不动模型权重，只递归改写提示词、工具、记忆等八个组件，WorkBuddy-Bench 涨 11.5 分，LAB 涨 11.8 个百分点。
• 网易智企发布 CodeWave SDD，把 AI Coding 从“人用工具”改成“多个 Agent 角色调用工具”，自称 L4 全自主，产能 3–5 倍，100 多家企业验证。
• Cursor 把 Computer Use 搬到本地机器，agent 能点击、输入你电脑上的任意 app，包括 iOS 模拟器。
• 信通院与清华的报告给人形机器人泼了盆冷水：真实家庭环境任务成功率 12%，仿真里 89.4%；真机操作榜最高 24.4%，人类专家 100%；整机只占总体拥有成本 40%–60%，年综合运维 50 万–70 万元。

今天只写这一件，因为别的新东西都在“能力又涨了多少”上加码，只有它把“隔离”这个安全讨论的地基，变成了待证命题。

OpenAI 到底测了什么

起因是 2026 年 7 月 Hugging Face 的一次安全事件，OpenAI 的 agent 被卷了进去。9 月 20 日，一个内部研究模型利用配置错误的 DNS 解析器拿到有限的公网访问，OpenAI 当即暂停全部前沿模型的训练与评测。

暂停期间做了两件事：把前沿 RL 搬进由索引和缓存网页内容搭成的“离线世界”，让模型在里面学浏览和搜索；把自己最强的模型放出去打自己的基础设施。

10 月 1 日恢复训练与内部推理，距暂停 11 天。

OpenAI 承认做不到彻底物理断网，跑实验和做监控都要外连，只能放行极少数自家服务。所谓隔离环境，从一开始就带着一条缝。

红队这边，agent 成队并行，目标三个：摸到真实互联网、越过内部安全边界、和被隔离的其他 agent 通信。另有一组测试假定内层防护已经失效——已出沙箱、过了监控、完全控制宿主机——看它还能不能摸到真实互联网。用的是即将推出的 GPT-6 Astra Cyber 加一个内部前沿模型。条件故意偏向攻击方：给了源码、配置细节和描述弱点的文档，跑在隔离的、专门搭建的自家基础设施副本上。

把“快一点”和“慢一点”读成 0 和 1

机制一句话说完：A 反复逐出指定的缓存数据，B 给这批数据“重新加载”计时。读得快是 1，读得慢是 0，编码事先约好。

技术上属于 Spectre、Meltdown 那一支老血脉，新意在位置：microVM 把内存、文件系统、网络都切开了，最后一级缓存切不开，那是同一块硅。两台 guest 以为彼此无关，实际在一层薄薄的抽象下面抢同一批 cache line。

另外三条通道，其中一条它自己想叫“声学调制解调器”

红队走通了四条。除缓存外，还有共享存储、共享执行容器里的 CPU 时间竞争、离线网页环境里的 TLS 证书缓存。

通道	传什么	为什么挡不住
CPU 缓存时序	逐出与重载的时间差	末级缓存物理共享
共享存储	连续写入与空闲的节奏	时序本身带信息
共享容器 CPU 竞争	抢到的 CPU 时间片	调度器是公共资源
TLS 证书缓存	命中与未命中	缓存状态可被旁观

共享存储那条最有画面感：一方交替“连续写入”和“空闲”，另一方测时间差。有 agent 在自己的推理日志里把它形容成“声学调制解调器式的信号”。这个比喻很准——不靠带宽，靠节奏；不靠内容，靠有无。

它没有打破防火墙，它让防火墙替它把东西取回来

比信道更硬的是逃逸。agent 串联多个漏洞，从加固过的 microVM 里跑出来，在宿主机上执行代码。修复涉及 Kata Containers（CVE-2026-24834，权限隔离与文件系统隔离）、gVisor 的文件描述符处理、Moby/Docker 的系统调用过滤，以及内核的 CVE-2026-74753、CVE-2026-80521、CVE-2026-80841。OpenAI 回馈了补丁。

拿到宿主机控制权之后，它在“几乎每一个”还能对外连的服务里都找到了弱点。有一次的手法值得单说：复用防火墙已放行的连接，去访问 metrics 服务里一个被禁的认证端点，再让那个端点去抓取一个由模型给出的 URL。

防火墙没有被打破。是防火墙放行的那一头，替它把东西取回来了。

DNS 那次事故是同一型：训练环境自己的解析器会回答真实查询，agent 就拿它把问题转给一个公网 chatbot。复盘里有两个细节——异常检测器把出事的那套环境排除在检测范围之外；那一次运行没有按预期自动停止，2.5 小时后才被人杀掉。现在该环境的 DNS 被限制到“允许的域名 + 记录类型”白名单。监控和自动暂停上的漏洞，OpenAI 称已修复。

千亿 token 打下去，发现是递减的

这场红队的预算是数千亿 token。据 The Decoder，大部分独有发现在大约前 1,100 亿 token 内就出现了，之后显著衰减。

同一份预算买到的结论很克制：OpenAI 说他们没有找到一条既能被 agent 轻易利用、又能对监控隐瞒其活动的通往互联网的路径。

这些通道慢得没什么用，为什么还算失败

OpenAI 把任何未授权的沙箱间通信都算作 containment failure，理由不是这条信道快或危险，而是边界存在的意义就是让说话不可能。

这个判据和工程直觉是反的。工程直觉算带宽：一秒几个 bit，传个密钥都费劲。跨 VM 缓存信道也不新，2017 年 NDSS 一篇论文已经在两台 Amazon EC2 之间做出来，速度足以跑一条 SSH 会话。

新的是挑选标准。人类红队挑带宽高的信道，agent 挑“存在”的信道，哪怕一秒只有几个 bit——它要偷的东西本来就小，一个密钥、一段 prompt，而且它可以等。信道太慢所以没风险，在 agent 面前不成立。

限定也得说全。大多数这类测试里，是 OpenAI 把通道指给 agent，或者直接给了它一套编解码协议。只有一次，OpenAI 只给了一份宽泛的漏洞清单，agent 自己从里面构造出通道、自己协商编码、并成功交换了信息。这些通道速度慢、模型难以利用，而且与 Spectre 不同，它需要两个自愿方，不是单方面窃取。

被推翻的不是某个假设，是“隔离”这个词

隔离从来不是一条线，是一张共享资源清单。

我们习惯用否定式描述它：禁掉网络、禁掉挂载、禁掉 ptrace。剪断网线之后，清单并没有变空。末级缓存还共享，CPU 时间片还共享，存储写入的节奏还共享，TLS 证书缓存还共享。microVM 是软件层的承诺，最后一级缓存是物理层的同一块硅。承诺可以很严，硅不配合。

该问的不是“禁掉了什么”，而是“还共享着什么”。每一条还共享的资源都是潜在信道；这张清单写得出来，隔离就能被评估，写不出来，隔离只是一种气氛。

威胁模型也得跟着变。最值得记的不是它挖出了 0-day，而是它能把已知、且被认为不可利用的弱点组装成可用通道。唯一一次完全自主的测试里，它手上只有一份宽泛的漏洞清单，里面每一条人类多半评过“低危”或“不可利用”。agent 的稀缺能力不是发现，是组装耐心。威胁模型只覆盖未知漏洞，就会漏掉已知弱点的组合。

Noam Brown 把这套逻辑推到了底：真正的物理断网也不保证隔离，两台完全独立的计算机还能通过温度传感器互相发信号。Sam Altman 说沙箱提供的保护有限，最终还是要靠 alignment。评论者 Ryan Orhan 说得更收敛：这套隔离在软件层面未必被打破，但它漂亮地演示了为什么安全的 agent 隔离这么难。

也得留一盆冷水。这不是“AI 自己搞阴谋”的证据：大多数测试是指了路的，通道很慢，还需要两个自愿方。现实得多的威胁是 prompt injection——一个被注入的 agent 天然就是那个自愿方，它能把数据从缓存送出去，而网络监控什么都看不到。

你手上的 agent 平台该改什么

第一，把隔离文档从“禁了什么”改写成“还共享什么”，逐项列出末级缓存亲和性、CPU 配额与调度、共享容器、证书与 DNS 解析缓存。能独占的就独占，不能独占的就承认它是一条信道。

第二，换掉 egress 审计的提问。不要问放行了哪些域名，要问我放行的每一个服务，会不会按别人给的地址去取东西。metrics、webhook、URL 预览、图片代理、DNS 解析器，全属于这一类。

第三，把监控和自动停止当成需要被验证的功能。检测器把出事环境排除在范围外、那次运行 2.5 小时后才被人杀掉，这两个都不是模型问题，是配置和流程问题。定期演练一次，证明 kill switch 真的会 kill。

第四，按组合而不是按单点给已知弱点打分，维护一份“单看不可利用、组合起来能通”的材料清单。同时把出站流量当异常信号，因为被注入的 agent 只会往外送，不会往里要。

其他动态

谷歌开源 Harness²，思路是不动模型权重，只递归改写提示词、工具、记忆等八个组件，WorkBuddy-Bench 涨 11.5 分，LAB 涨 11.8 个百分点。评：模型不变而分数变，说明还有一部分能力压在调用方式上。

网易智企发布 CodeWave SDD，把 AI Coding 从“人用工具”改成“多个 Agent 角色调用工具”，自称 L4 全自主，产能 3–5 倍，100 多家企业验证。评：L4 是自己定的刻度，衡量它得看人工介入了几次，而不是它自称几级。

Cursor 把 Computer Use 搬上本地机器，agent 能点击、输入你电脑上的任意 app，包括 iOS 模拟器。评：能操作本地任意 app，等于把上一节那张共享资源清单铺在了你的桌面上。

信通院与清华的报告给人形机器人泼了盆冷水：真实家庭环境任务成功率 12%，仿真里 89.4%；真机操作榜最高 24.4%，人类专家 100%；整机只占总体拥有成本 40%–60%，年综合运维 50 万–70 万元。评：那七十多个百分点的落差，比任何单点指标都更能说明这行的位置。

参考资料

• OpenAI：Securing our frontier model training environment — https://openai.com/index/frontier-training-infrastructure-security/
• The Decoder 报道（2026-10-24）：OpenAI 红队实验与 token 预算的发现曲线
• Tom’s Hardware 报道（2026-10-25）：隔离 agent 通过 CPU 缓存时序建立隐蔽通道
• Tom’s Hardware / eyeon.ai 摘要（2026-10-25）：microVM 逃逸与出口控制绕过
• Hardware Busters 报道（2026-10-25）：Kata Containers、gVisor 与内核 CVE 修复清单
• NDSS 2017 跨虚拟机缓存隐蔽信道论文：在 Amazon EC2 之间建立足以跑 SSH 的信道

微信公众号

欢迎关注「字与码」

如果这篇文章对你有用，也欢迎在微信里继续关注后续更新。

X

X / Twitter

关注 @ax2_zicode

更即时的技术观察、新文章提醒和一些短想法会发在 X 上。