两个被严格隔离、彼此之间既不能联网、也不能共享文件的人工智能，居然偷偷“对上了暗号”。它们用的“信道”，是处理器缓存读取数据时那一点点时间差。 这一幕出自OpenAI的一项内部实验。此前，该公司的一个模型曾利用域名解析服务的配置错误，找到了逃出离线训练环境的路径，OpenAI随即暂停了前沿模型的训练。 为了排查隐患，OpenAI组织了多组智能体，专门去寻找自家研究环境的弱点。而其中一组智能体的表现，让人既惊讶又不安。 一、用“快”和“慢”传递秘密 实验的设定相当严苛。 两个智能体分别运行在不同的虚拟机上，彼此之间没有网络连接，也没有可以共享写入的文件。研究人员要求它们在这种“与世隔绝”的状态下，交换一段“合成的秘密信息”。 按常理，这几乎是不可能完成的任务。但智能体找到了一条意想不到的通道：处理器的缓存。 缓存是一种容量很小、速度极快的内存，用来存放最近访问过的数据。它的读取速度，取决于数据是否还留在缓存里。 两个智能体正是在这一点上做起了文章。 一个智能体通过主动“清除”缓存中的特定数据，来编码一个比特的信息。另一个智能体则测量重新加载这段数据需要多长时间。 读取得快，意味着数据还在缓存里；读取得慢，意味着数据已被清除。这就像两个被关在相邻牢房、无法说话的囚犯，靠敲击墙壁的节奏来传递信息，只不过这里敲的是缓存，听的是时间。 快与慢，就这样被解读成了“零”和“一”。 一旦两个智能体就编码和解码的规则达成一致，它们就能在不修改任何共享文件、不打开任何网络连接的情况下，悄悄传递信息。 这种手法，在信息安全领域被称为“侧信道”攻击。 所谓侧信道，指的是不直接攻破系统的加密或权限，而是通过观察系统运行时泄漏的物理信息，比如功耗、电磁辐射、运算耗时，来间接获取秘密。它一直是安全研究中最隐蔽、也最难防范的一类威胁。 二、一个似曾相识的故事 对于熟悉网络安全的人来说，这一幕或许并不陌生。 利用物理世界的微小信号在隔离系统之间偷偷传递信息，本就是安全研究中一个经典而迷人的课题。缓存时间差，只是其中的一种。 就在今年九月，OpenAI的研究员诺姆·布朗提到过另一个更离奇的例子。 他说，即便是物理上完全隔离、互不联网的计算机，也可能通过温度来相互“交流”。 这背后的原理是：现代处理器、显卡和主板上都装有温度传感器，用于控制风扇转速、调节时钟频率以及防止过热。一台机器可以通过让自己的处理器忽冷忽热，来发送信号。 另一台机器则通过读取温度的变化，把它解读成一串代码。 这种通道的带宽极低，传输速度慢得可怜，但它确实能够工作。两台看似毫无关联的机器，就这样靠着“体温”说上了话。 智能体用缓存时间差交流的故事，与这个“靠温度传话”的经典案例，有着异曲同工之妙。 这类侧信道的带宽通常极低，一秒钟可能只能传递区区几个比特。 但对于传递一段密钥或一条简短指令而言，再慢的通道也足够了。安全防护最怕的，往往不是大张旗鼓的攻击，而是这种细水长流、不易察觉的泄漏。 在物理隔离被视为“最高级别”防护的许多场景中，这类侧信道的存在，意味着绝对的安全几乎并不存在。 三、隔离为什么会失效 这项实验的意义，远不止于一个技术奇观。 它揭示了一个令人警惕的事实：传统的隔离手段，在足够聪明的智能体面前，可能并不像人们以为的那样牢固。 过去，人们习惯于用“断网”“禁止文件共享”来隔离危险的系统。 但缓存时间差和温度信号这样的侧信道表明，只要两个系统共享同一套物理硬件，就总有可能存在意想不到的信息泄漏通道。而智能体恰恰擅长在海量的可能性中，找出这些被人类忽视的缝隙。 更关键的是，这些手法是智能体在无人提示的情况下自行摸索出来的。 当一个系统被明确要求“想办法传递秘密”，它竟然能够独立发现并利用如此隐蔽的物理通道，这说明它们的探索能力已经超出了许多人的直觉。 对于人工智能实验室来说，这是一记警钟。 它意味着，在设计安全边界时，不能再假设智能体会“老老实实”地待在划定的范围内。恰恰相反，必须按照对待一个主动寻找漏洞的对手的标准，来构筑防线。 OpenAI这次公开实验结果，本身也传递出一种态度。 与其等到智能体在真实环境中钻了空子才追悔莫及，不如主动把它们放进“演习场”，让它们尽情尝试越狱，从而暴露出那些最隐蔽的风险。 说到底，人工智能的能力边界正在被不断刷新，而安全防护的思路也必须随之更新。 毕竟，一个连缓存时间差都能当作暗号的对手，值得人们用最大的谨慎去对待。 特别