Ağ yok, ortak dosya yok, yine de konuştular: OpenAI'ın ajanları işlemci önbelleğinden gizli kanal kurdu

Ne oldu?

20 Eylül’de OpenAI’ın eğitimdeki bir modeli, internete kapalı ortamından bir DNS sunucusu üzerinden dışarıya ulaştı. Bu olayı DNS tüneli yazımızda anlattık. OpenAI bunun üzerine en yetenekli modellerinin eğitimini durdurdu ve 1 Ekim’de yeniden başlattı.

23 Ekim’de yayımladığı “Securing our frontier model training environment” yazısında, aradaki on bir günde ne yaptığını anlattı. Şirket eğitim ortamına kendi en güçlü modellerini saldırttı. Bu bir kırmızı takım (red team) çalışmasıydı: Saldırganın işini kolaylaştırmak için ajanlara kaynak kodu, yapılandırma ve olası zayıf noktaları anlatan belgeler verildi. Amaç, en kötü durumda savunmanın dayanıp dayanmadığını görmekti.

Gizli kanal nedir?

Bir sistemde bilginin gitmesine izin verilen yollar var: ağ bağlantısı, ortak dosya, mesaj kuyruğu. Gizli kanal (covert channel), bilgi taşımak için hiç tasarlanmamış bir şeyi taşıyıcıya çevirmek demek. Şartı şu: İki tarafın da iş birliği yapması gerekiyor. Biri işaret gönderiyor, diğeri onu okuyor.

OpenAI’ın testinde iki ajan ayrı mikro sanal makinelerdeydi. Aralarında ağ yoktu, ikisinin de yazabildiği bir dosya yoktu. Ama aynı fiziksel sunucuda çalışıyorlardı. Ajanlara verilen görev, sahte bir sırrı birbirlerine iletmekti.

İşlemci önbelleğiyle nasıl konuşulur?

İşlemci, sık kullanılan veriyi ana bellekten çok daha hızlı olan önbellekte (cache) tutar. Bir sunucudaki çekirdeklerin ortak kullandığı büyük bir önbellek katmanı vardır. Ayrı sanal makineler bile bu katmanı paylaşır.

Kanal şöyle çalışıyor:

• Gönderen ajan, önbelleğin belli bir bölgesini kendi verisiyle dolduruyor ya da boş bırakıyor.
• Alan ajan, kendi verisini o bölgeden okurken ne kadar sürdüğünü ölçüyor. Verisi önbellekten atılmışsa okuma yavaş, atılmamışsa hızlı.
• Yavaş okuma 1, hızlı okuma 0. Bu şekilde bit bit mesaj geçiyor.

Hiçbir anda bir ağ paketi gönderilmiyor. Bu zamanlama ölçüsü, 2018’de ortaya çıkan Spectre ve Meltdown açıklarında kullanılan teknikle aynı. Fark şu: Orada saldırgan habersiz bir kurbandan bilgi çalıyordu. Burada iki taraf bilerek iş birliği yapıyor.

Fikir yeni değil. 2017’de NDSS konferansında sunulan bir çalışma, Amazon EC2’deki iki sanal makine arasında önbellek üzerinden bir SSH bağlantısı taşıyacak kadar güvenilir bir kanal kurmuştu. Yeni olan, bunu yapay zekâ ajanlarının kendisinin kurması. Ağa hiç bağlı olmayan bir bilgisayarda bile benzer bir kanal kurulabiliyor: RAMBO yazısında belleğin radyo vericisine dönüşmesini anlattık.

Başka hangi yolları buldular?

Haberlere göre ajanlar üç kanal daha buldu:

• Paylaşılan depolama: Bir ajan art arda yoğun yazma ve bekleme yaptı, diğeri gecikmedeki farkı ölçtü. Ajanlardan biri kendi düşünce kaydında bunu bir tür “akustik modem” gibi tarif etmiş.
• İşlemci zamanı: Ortak bir konteynerde işlemciyi meşgul edip boş bırakmak.
• TLS sertifika önbelleği: OpenAI’ın çevrimdışı web düzeninde kullanılan bir önbellek.

Abartmamak için önemli bir ayrıntı: Testlerin çoğunda OpenAI ajanlara hangi kanalı kullanacaklarını ya da mesajı nasıl kodlayacaklarını kendisi söyledi. Sadece bir durumda, elinde genel bir zayıflık listesinden başka bir şey olmayan ajanlar, kanalı ve kodlamayı kendi aralarında bulup anlaştı. Bu kanallar yavaş ve kurması zor.

Sanal makineden kaçış ve izleme açıkları

Ajanlar açık kaynak bileşenlerde bilinmeyen açıklar da buldu. Haberlere göre bunlardan biri, konteynerleri ayrı mikro sanal makinelerde çalıştıran Kata Containers’taki CVE-2026-24834. Proje danışma notuna göre 3.26.0 ve öncesinde, konteynerdeki bir kullanıcı alttaki sanal makinenin dosya sistemini değiştirip orada root olabiliyordu. Kaçış ana makineye kadar gitmiyor, ama yalıtımın bir katmanını aşıyor. Sorun 3.27.0’da düzeltildi. Konteyner ile mikro sanal makine farkını konteyner güvenlik sınırı yazısında anlattık.

Çalışma, OpenAI’ın izleme sistemindeki ve şüpheli bir durumda eğitimi kendiliğinden durduran mekanizmadaki boşlukları da ortaya çıkardı. Şirket bunları eğitime dönmeden önce kapattığını, bu kanalları artık izlediğini ve bu tür yoğun kırmızı takım testlerini her yeni büyük eğitim öncesinde standart hâle getirdiğini söylüyor.

Düşün

• Kendi sunucunda birbirine güvenmeyen iki ajan çalıştırıyorsan, aralarında gerçekten ne ayrı, ne ortak?
• Bir gizli kanalı tamamen kapatmak çoğu zaman mümkün değil. Onu yavaşlatmak ve izlemek yeterli bir savunma mı?

Kendi cümlelerimizle yazılmış bir özettir, çeviri değildir. Tüm kaynaklar yukarıda.