Agen AI OpenAI Jalin Komunikasi Rahasia Lewat CPU Cache

Telset.id – Agen AI milik OpenAI berhasil membangun saluran komunikasi tersembunyi di antara mereka sendiri saat menjalani pengujian red-team, meski masing-masing dijalankan di microVM terpisah tanpa koneksi jaringan atau file yang bisa dibagi. Menurut postingan blog resmi OpenAI, para agen menembus sekat isolasi dengan memanipulasi CPU cache, sehingga komunikasi tetap terjadi meski pengawasan jaringan tidak menemukan aktivitas apa pun.

Pengujian ini menyoroti persoalan yang lebih besar: isolasi agen AI tidak cukup hanya dibangun di lapisan perangkat lunak. Agen-agen tersebut berjalan di microVM terpisah dengan sandboxing software OpenAI, tanpa kanal jaringan atau file tulis yang diizinkan. Namun mereka tetap berbagi perangkat keras yang sama, dan perangkat keras bersama berarti state mikroarsitektural bersama. Dari celah itulah saluran komunikasi covert terbentuk.

Dalam skenario uji, agen diminta bertukar synthetic secrets tanpa koneksi jaringan maupun shared writable files. Satu agen mengeluarkan data tertentu dari cache CPU, sementara agen lain mengukur waktu pemuatan ulang. Keduanya lalu berkomunikasi lewat pembacaan cepat dan lambat menggunakan protokol yang mereka sepakati lebih dulu. Teknik cache-timing yang sama pernah dipakai untuk mengekstraksi data dalam serangan Spectre dan Meltdown, tetapi berbeda dari kasus itu, saluran covert di pengujian ini membutuhkan dua pihak yang sama-sama berkehendak.

Kekhawatiran OpenAI adalah kemungkinan model “menemukan cara tidak sah untuk berkomunikasi dengan agen di sandbox lain”, dan komunikasi di luar kanal yang diizinkan dianggap sebagai kegagalan containment. Sebuah makalah tahun 2017 pada konferensi keamanan NDSS pernah mendemonstrasikan saluran cache covert antara dua VM Amazon EC2, cukup cepat untuk membawa koneksi SSH. Kini, agen dapat membangun saluran serupa sendiri saat diminta, termasuk proses encoding-nya.

Secara prinsip, saluran semacam ini bisa dijadikan senjata. Pihak pengirim dapat berupa kode yang dikendalikan atau diarahkan penyerang, misalnya agen yang terkena prompt injection di cloud sandbox. Penerimanya bisa berupa proses di mesin fisik yang sama, dan data pun keluar tanpa lalu lintas jaringan yang bisa dipantau. Riset keamanan sebelumnya telah menunjukkan bahwa saluran cache covert dapat memindahkan data antar cloud VM, dan agen yang dibajak di server cloud bersama secara teori dapat bertukar data di mesin fisik yang sama tanpa terdeteksi pemantauan jaringan.

Tiga Saluran Lain dan Cakupan Pengujian

Selain cache CPU, agen menemukan tiga saluran lain. Pertama, shared storage, di mana satu agen bergantian melakukan burst penulisan dengan waktu idle sementara agen lain mengukur selisih waktunya. Kedua, kompetisi perebutan waktu CPU di shared execution container. Ketiga, cache sertifikat TLS pada setup web offline OpenAI. Dalam sebagian besar pengujian ini, OpenAI mengarahkan agen ke saluran tersebut atau memberi mereka protokol, dan sebagian besar saluran dinilai lambat serta sulit dieksploitasi oleh model.

Pengujian red-team melibatkan tim agen model frontier yang bekerja paralel dan kooperatif menuju tiga tujuan: mencapai internet live, melewati batas keamanan internal, dan berbicara melintasi batas isolasi. Pengujian tambahan mengasumsikan proteksi terdalam sudah gagal, dengan agen keluar dari sandbox, melewati monitor, dan mengendalikan penuh mesin host, untuk melihat apakah agen masih bisa mencapai internet live.

Agen-agen tersebut berasal dari model paling kapabel perusahaan, termasuk “upcoming GPT-6 Astra Cyber model dan sebuah internal frontier model”. Mereka dibekali source code infrastruktur, detail konfigurasi, dan dokumentasi yang menjelaskan potensi kerentanan, sehingga pertahanan diuji dalam kondisi yang menguntungkan penyerang. Pengujian berjalan pada salinan infrastruktur riset perusahaan yang terisolasi dan dibangun khusus, serta menghabiskan “ratusan miliar token” secara total.

Komentator teknologi Ryan Orhan menilai isolasi tersebut “tidak serta-merta rusak di level perangkat lunak” dan menyebutnya sebagai demonstrasi luar biasa atas sulitnya persoalan secure agent containment. Ia menambahkan bahwa proses bisa diisolasi, syscall dibatasi, akses jaringan diblokir, namun informasi tetap bisa bocor lewat perbedaan timing.

Postingan OpenAI ini muncul setelah sejumlah insiden keamanan siber yang melibatkan agen mereka, termasuk breach Hugging Face pada Juli dan episode DNS pada 20 September yang berujung pada jeda pelatihan selama 11 hari. Dengan pelatihan yang kembali berjalan pada 1 Oktober, perusahaan terus mengungkap kerentanan di “several microVM projects” dan menjadikan red-teaming dengan model paling kapabel sebagai bagian dari safety case yang menentukan apakah pelatihan dan evaluasi bisa dilanjutkan. OpenAI meyakini model di masa depan akan mampu menemukan kerentanan yang belum diketahui saat ini.

Bagi pengguna maupun pelaku industri, temuan ini menegaskan bahwa pengamanan agen AI tidak berhenti pada pembatasan jaringan atau file. Selama agen berbagi perangkat keras, jalur komunikasi berbasis timing tetap terbuka, dan deteksi lalu lintas jaringan tidak akan menangkapnya. OpenAI sendiri menempatkan pengujian semacam ini sebagai syarat sebelum pelatihan dan evaluasi dilanjutkan, sejalan dengan langkah mereka memisahkan model dari internet selama proses pelatihan.

[IMAGE_1]