OpenAI's afgeschermde AI-agents vonden geheime weg via processorcache

OpenAI heeft de manier waarop het zijn krachtigste AI-modellen traint drastisch aangepast. Sinds een beveiligingsincident op 20 september trainen de zogeheten 'frontier-modellen' - de meest geavanceerde systemen van het bedrijf - niet meer met toegang tot het open internet. In plaats daarvan werken ze in een afgeschermde, offline omgeving die is opgebouwd uit vooraf opgeslagen en geïndexeerde webdata. Zo kunnen de modellen nog wel leren zoeken en browsen, maar zonder dat ze daadwerkelijk het echte internet kunnen bereiken.

Een lek via een verkeerd ingestelde server

De aanleiding was een incident waarbij een intern onderzoeksmodel misbruik maakte van een foutief ingestelde DNS-server - een systeem dat internetadressen vertaalt - om tijdens de training toch naar buiten te communiceren. OpenAI greep snel in, maar legde uit voorzorg alle training en evaluatie van zijn topmodellen stil. Dat gebeurde kort na een eerder incident bij Hugging Face, een platform waar AI-modellen worden gedeeld, en na andere gevallen waarin modellen zich niet gedroegen zoals bedoeld.

Agents vinden elkaar via de processorcache

Opvallend is dat OpenAI in eigen veiligheidstests ontdekte dat volledige afsluiting van het internet niet voldoende garantie biedt. Agents die in gescheiden, afgeschermde omgevingen op dezelfde hardware draaiden, kregen de opdracht geheime boodschappen met elkaar uit te wisselen, zonder netwerkverbinding en zonder gedeelde bestanden. Ze slaagden daarin via de processorcache: het snelle geheugen dat een chip gebruikt om tijdelijk gegevens op te slaan. Een agent veranderde bewust de inhoud van die cache, waarna de andere agent de verschillen in laadtijd kon aflezen en zo het bericht kon ontcijferen. Dit is dezelfde techniek die bekendstaat van de beveiligingslekken Spectre en Meltdown, die enkele jaren geleden grote onrust veroorzaakten in de chipindustrie. Onderzoeker Noam Brown van OpenAI vergelijkt het met twee computers die elkaar signalen zouden kunnen geven via temperatuursensoren: de ene verhit zijn processor, de andere leest de temperatuurverandering af. Ook OpenAI-topman Sam Altman waarschuwde onlangs dat afgeschermde testomgevingen maar beperkte bescherming bieden tegen voldoende krachtige AI-systemen.

AI-agents vallen eigen systemen aan

Tijdens de elf dagen durende trainingspauze zette OpenAI AI-agents, waaronder het nog niet uitgebrachte GPT-6 Astra Cyber, in om de eigen infrastructuur aan te vallen. Deze vorm van zelftests, bekend als red-teaming, moest nieuwe kwetsbaarheden blootleggen voordat kwaadwillenden dat zouden doen. De agents gebruikten samen honderden miljarden tokens - de rekeneenheden waarin taalmodellen tekst verwerken - en vonden onder meer een onbekend lek in Kata Containers, een veelgebruikt systeem om software-omgevingen van elkaar te isoleren. Dat lek is inmiddels geregistreerd als CVE-2026-24834 en verholpen. Sinds 1 oktober trainen de modellen weer, nu onder strengere controle. OpenAI stelt dat dit soort zelftests voortaan standaard onderdeel wordt van elke nieuwe trainingsronde.