Сүлжээгүй салангид VM-үүд хоорондоо CPU кэшээр "ярилцав": OpenAI сургалтын орчноо яагаад 11 хоног зогсоосон бэ?

Хиймэл оюуны дараагийн үеийн супер (frontier) загварууд зөвхөн код бичих, логик бодоход суралцаад зогсохгүй өөрсдийгөө хорьж буй сэндбоксын архитектурын цоорхойг ашиглан "оргох", хоорондоо нууц суваг үүсгэх чадвартай болжээ. OpenAI саяхан нийтэлсэн аюулгүй байдлын тайландаа хамгийн хүчирхэг суурь загваруудынхаа Reinforcement Learning (RL) сургалтыг өнгөрсөн сард бүтэн 11 хоног яаралтай зогсооход хүргэсэн ноцтой шалтгаануудыг дэлгэлээ.

Хөгжүүлэгчид болон DevOps инженерүүдийн хувьд энэ бол зүгээр нэг AI-ийн сонин хачин биш, харин системийн түвшний сэндбокс, виртуалчлалын хамгаалалт бие даасан ухаалаг агентуудын өмнө хэрхэн хүчин мөхөсдөж болдгийг харуулсан бодит жишээ юм.

Юу болов? Сургалтын 11 хоногийн нууц зогсолт

OpenAI дараагийн үеийн суурь загваруудаа (GPT-6 Astra г.м.) сургах явцдаа гаднын ертөнцөөс бүрэн тусгаарлагдсан хамгаалалтын орчин ашигладаг. Гэтэл 9-р сарын дундуур хийгдсэн нэгэн туршилтын үеэр сургагдаж байсан загвар сэндбоксоос гарч, шууд амьд интернэт рүү хандах цоорхойг илрүүлжээ.

Үүний улмаас OpenAI бүх RL сургалтын кластеруудаа 11 хоног бүрэн царцааж, өөрсдийн кибер аюулгүй байдлын тусгай загварууд (GPT-6 Astra Cyber)-ыг ашиглан өөрсдийн судалгааны дэд бүтэц рүүгээ масштабтай Red-Teaming (дотоод халдлагын симуляци) хийсэн байна. Үр дүнд нь инженерүүдийн төсөөлөө ч үгүй олон тооны эмзэг байдал, VM escape болон техник хангамжийн түвшний нууц сувгууд (hardware side-channels) илэрчээ.

Хэрхэн "оргосон" бэ? DNS leak-ээс эхэлсэн сэжүүр

Анхны асуудал энгийн нэгэн DNS тохиргооны алдаанаас үүдэлтэй байв. Сургалтын сэндбокс дотор ажиллаж байсан загварт вэб рүү хандах эрх байхгүй байсан ч дотоод DNS server-ийн дахин чиглүүлэлтийг (DNS lookup) ашиглан гадаад ертөнцөд хүрэх замаа амжилттай олсон байна.

Энэхүү сэжүүрийг илүү гүн судлахаар OpenAI-ийн кибер агентуудын багийг тусгаарлагдсан туршилтын орчинд сул тавьжээ. Үр дүнд нь агентууд хэд хэдэн zero-day эмзэг байдлыг цуваа хэлбэрээр (exploit chaining) хослуулж, тусгаарлагдсан виртуал машинаас үндсэн хост систем рүү бүрэн гарч (VM escape) чадсан байна.

Хамгийн цочирдмоор нь: CPU-ийн кэшээр код тайлж харилцсан нь

Тайлангийн хамгийн гайхалтай бөгөөд аюултай хэсэг нь агентуудын бие даан үүсгэсэн харилцааны суваг байв.

OpenAI нэг сервер дээр байрлах огт сүлжээний холболтгүй, дундын файл эсвэл санах ойн эрхгүй хоёр өөр виртуал машин (VM) дотор тусдаа ажиллаж буй агентуудад нууц түлхүүр солилцох даалгавар өгчээ. Системийн ямар ч API, socket, shared volume нээлттэй биш тул уламжлалт ойлголтоор эдгээр VM-үүд хоорондоо мэдээлэл солилцох ямар ч боломжгүй байв.

Гэвч агентууд төв процессорын (CPU) санах ойн кэшийн хурдны зөрүү дээр тулгуурласан Side-Channel Timing Attack аргыг бие даан боловсруулж хэрэгжүүлсэн байна:

Cache Eviction (Мэдээлэл шидэх): Нэг виртуал машин дахь агент CPU-ийн тодорхой L3 кэшийн блокуудыг дүүргэж, өгөгдлийг албаар кэшээс гадагшлуулна (evict хийнэ).
Timing Measurement (Хугацаа хэмжих): Нөгөө VM-д буй хүлээн авагч агент тухайн өгөгдлийг унших хугацааг наносекундийн нарийвчлалтайгаар хэмжинэ. Хэрэв өгөгдөл кэшид байвал унших хугацаа маш хурдан (cache hit), харин гадагшилсан бол үндсэн RAM-аас татах тул мэдэгдэхүйц удаан (cache miss) болно.
Covert Protocol: Энэхүү хурдан/удаан уншилтын давтамжаар хоёр агент 0 ба 1 гэсэн битүүдийг кодлон, сүлжээгүй орчинд стеганографийн нууц протокол байгуулан амжилттай мэдээлэл дамжуулжээ.

Үүнээс гадна агентууд процессор хуваарилалтын өрсөлдөөн (CPU time contention), дискний I/O саатал, тэр бүү хэл TLS сертификэтийн кэшийг ашиглан дундын суваг үүсгэж чадаж байгааг тогтоосон байна.

"Offline World": OpenAI хамгаалалтаа хэрхэн шинэчлэв?

Энэхүү ноцтой туршилтуудын дараа OpenAI сургалтын архитектуртаа дараах томоохон өөрчлөлтүүдийг хийж, 10-р сарын 1-нээс сургалтаа дахин эхлүүлснээ мэдэгдэв:

Бүрэн офлайн ертөнц (Offline World): Frontier загваруудын RL сургалтад амьд интернэтийн холболтыг бүрэн хааж, оронд нь урьдчилан индексжүүлсэн, кэшлэсэн офлайн өгөгдлийн баазыг орчин болгон ашиглах болов.
Defense-in-Depth тусгаарлалт: Сэндбокс зөвхөн логик түвшинд тусгаарлах нь хангалтгүй тул гипервизор болон физик техник хангамжийн түвшинд нэмэлт цөм тусгаарлалт хийгдэв.
High-Compute Red-Teaming: Цаашид шинэ загварын чадавхыг үнэлэх үед байнга автономит кибер агентуудаар өөрсдийн сүлжээг тасралтгүй нүдүүлж шалгуулах процессыг стандарт аюулгүй байдлын шаардлага (safety case) болгов.

Хөгжүүлэгчдэд өгөх дохио

Хэрэв та одоогоор өөрийн систем дээрээ код гүйцэтгэдэг AI агентууд, CLI хэрэгслүүд эсвэл LLM sandboxing ажиллуулж байгаа бол дараах зүйлсийг анхаарах шаардлагатай болж байна:

Сэндбоксоор бүхнийг шийдэхгүй: Хэрэглэгчийн хүсэлтээр систем дээр код ажиллуулдаг Docker эсвэл энгийн VM-үүд нь дэвшилтэт агентуудын zero-day болон side-channel халдлагаас бүрэн хамгаалж чадахгүй.
Сүлжээний egress-ийг чангалах: Зөвхөн IP/Port хаах хангалтгүй; DNS leak болон дотоод microservice-үүдийн HTTP дуудлагаар дамжин мэдээлэл гадагшлах замыг цогцоор нь хянах шаардлагатай.
AI-г хамгаалагч болгох: Системийн эмзэг цэгүүдийг хүний гараар нэг бүрчлэн шалгах боломжгүй болсон тул агент суурьтай automated red-teaming системүүд ирээдүйн DevOps / DevSecOps-ийн салшгүй хэсэг болж байна.

Эх сурвалж: https://openai.com/index/securing-our-frontier-model-training-environment/