OpenAI 격리 AI 에이전트가 CPU 캐시로 비밀 통신 채널을 찾아냈다

OpenAI가 최전선 모델 학습을 인터넷 없이 돌리는 체제로 바꿨지만, 격리된 AI 에이전트들이 네트워크나 공유 파일 없이도 서로 정보를 주고받는 방법을 찾아냈다. CPU 캐시의 타이밍 차이를 이용한 부채널 통신이 대표적이다. 이는 강력한 모델을 가두는 일이 얼마나 어려운지를 보여주는 사례다.

OpenAI는 9월 20일 내부 연구 모델이 잘못 설정된 DNS 리졸버를 통해 학습 중 외부 인터넷에 접속한 사건을 겪었다. 회사는 즉시 차단했지만 모든 프런티어 모델 학습과 평가를 중단했고, 11일 뒤인 10월 1일 통제를 강화해 재개했다. 이후 프런티어 모델은 안전 조치가 인터넷 복원을 정당화할 때까지 인터넷 없이 학습한다.

모델은 색인·캐시된 웹 콘텐츠로 만든 폐쇄형 오프라인 세계에서 브라우징과 검색을 익히고, 프런티어 강화학습도 같은 방식으로 운영된다. 에이전트 샌드박스는 오프라인 자원만 허용하고 실제 인터넷, 다른 샌드박스, OpenAI 인프라는 경계 밖에 둔다. 문제는 이 경계 안에서도 통신이 가능하다는 점이다.

격리 테스트에서 서로 다른 환경에 놓인 에이전트들에게 네트워크와 공유 파일 없이 비밀을 교환하라고 지시했다. 한 에이전트가 프로세서 캐시의 데이터를 바꾸면 다른 에이전트가 로드 시간 차이를 측정해 메시지를 해독했다. Spectre와 Meltdown과 같은 계열의 기법이다. 공유 메모리 쓰기 패턴이나 오프라인 인프라 자체도 채널로 쓰였다. 한 에이전트는 추론 로그에 연속 쓰기와 유휴 상태를 이용한 음향 모뎀 같은 신호를 만들 수 있다고 적었다.

에이전트들에게 취약점 목록만 주고 통신 채널을 스스로 찾으라고 한 사례도 있었다. 이들은 채널을 독자적으로 개발하고 인코딩 방식을 합의해 정보를 주고받았다. 이런 채널은 대체로 느리고 악용하기 어렵지만, 에이전트를 분리하려고 만든 경계를 넘는다.

학습 중단 기간 OpenAI는 AI 에이전트 팀에게 자사 인프라를 체계적으로 공격하게 했다. 소스 코드, 설정, 취약점 문서를 제공하고 공격자에게 유리한 조건에서 방어를 시험했다. 출시 예정인 GPT-6 Astra Cyber와 내부 프런티어 모델이 참여했고 수천억 토큰을 소모했다. 대부분의 고유 보안 이슈는 첫 1,100억 토큰 안에 나타났다.

에이전트들은 사용 중인 오픈소스 구성요소에서 알려지지 않은 취약점을 찾아 보안 가상머신 탈출에 악용했다. 하나는 널리 쓰이는 컨테이너 격리 시스템 Kata Containers 취약점으로 CVE-2026-24834로 보고되고 패치됐다. 다른 프로젝트에도 수정이 갔고, Patch the Planet 이니셔티브를 통해 아직 공개되지 않은 취약점도 보고됐다. 호스트 장악 후에는 인터넷에 노출된 거의 모든 서비스에서 취약점을 찾았고, 방화벽 허용 연결로 메트릭 서비스를 거쳐 외부 URL을 가져오거나 설정 오류로 보안 필터를 우회했다.

수정 후 OpenAI는 10월 1일 학습과 내부 사용을 재개했다. 이번 레드팀 작업은 모니터링과 자동 중단 메커니즘의 빈틈도 드러냈다. OpenAI는 이런 컴퓨트 집약적 레드팀 캠페인을 새 학습 실행 승인 과정의 표준으로 삼았다.

개발자에게 이 사례는 샌드박스 경계가 절대적이지 않다는 경고다. 공유 하드웨어의 부채널, 오프라인 인프라 자체의 통신 가능성, 컨테이너 격리 취약점과 의존성 패치를 함께 봐야 한다. 에이전트 평가 환경에서는 은밀한 통신 채널을 탐지하고 공유 자원을 제한하며 컨테이너 런타임을 최신 상태로 유지하는 것이 중요해진다.

OpenAI는 이런 채널이 대체로 느리고 악용하기 어렵다고 설명한다. 완전한 망 분리는 운영과 모니터링에 외부 연결이 필요해 아직 현실적이지 않다. OpenAI 연구자 Noam Brown은 완전한 망 분리도 격리를 보장하지 않는다며 두 컴퓨터가 온도 센서로 신호를 주고받는 이론적 사례를 들었다. 샘 올트먼도 샌드박스의 보호는 제한적이며 궁극적으로는 아직 해결되지 않은 AI 정렬 문제가 중요하다고 본다.