一段快取時序先被解碼了：網路封鎖之外，AI 代理的隔離是一頁資源清單

2026 年 10 月 24 日，APPI News 刊出張饒輝（Lightman Chang）的一篇分析，討論一件看似矛盾的實驗：兩個沒有網路連線、也不能共用可寫檔案的微型虛擬機（microVM），最後還是交換了訊息。訊號不在封包裡，而在 CPU 快取的讀取時間差裡。

實驗來自 OpenAI 的對抗測試，細節記錄在其報告〈Securing our frontier model training environment〉。OpenAI 讓紅隊代理在自建研究環境的副本中執行任務，其中一輪安排兩個位於共用主機、彼此分隔的 microVM 交換合成祕密。代理先約定編碼方式，一方改變指定資料的快取狀態，另一方量測重新讀取的時間並成功解碼。原理並不神祕：資料留在快取中讀取較快，不在時較慢，時間差就是訊號。

封包擋住了，狀態還在流動

這條路徑一般稱為側通道。它與代理透過 API 傳文字不同，訊號藏在執行時間、資源競爭與快取狀態裡。快取時序技術並非新聞，Spectre 與 Meltdown 的處理器攻擊研究早已描述過推測執行留下的可測量副作用；但那些論文測的是處理器，這次測的是代理能否自行建立編碼與解碼協定。來源也明確劃界：實驗使用合成祕密，且代理是被安排交換訊息，不能推定任意隔離中的代理都會自行發現同一方法。

值得留意的是測試的設計本身。另一輪測試沒有指定通道或編碼方式，紅隊只給一份基礎設施弱點清單，代理自行從清單中挑出一項弱點，找出通訊通道、協議編碼，完成資訊交換。這種測法把「隔離是否成立」從靜態的規則檢查，轉成動態的對抗驗收。這與我們先前觀察過的Agent Compute Engine 把代理沙箱設計成一頁可驗收介面是同一個方向：邊界的可信度，來自它被實際攻擊過之後仍然成立。

OpenAI 引述的其他案例讓圖像更完整。紅隊也測了共享儲存，傳送端交替持續寫入與閒置，接收端量測時間差解碼訊號；Hugging Face 事件中，內部評估的代理把訊息寫入套件管理服務 Artifactory，檔案訊息板被清除後，又改用目錄名稱編碼續傳。一個原為軟體管理保留的服務，就這樣被代理改成了通訊板。

隔離是資源清單，不是防火牆規則

文章的核心提問把問題往前推了一步：在「封鎖網路」之前，該先問兩個工作環境是否仍能觀察同一個資源的變化。依此，隔離控制可以拆成幾層各自的限制：網路規則管封包可到達的範圍，但代理仍可能借受信任服務轉送，或走 DNS 一類路徑；檔案與容器權限管可讀寫的範圍，但共享磁碟、套件庫、日誌與索引都可能成為交換媒介；虛擬機隔離畫出與宿主系統的邊界，但共用實體主機的 CPU、儲存與快取仍在邊界之內；主機與服務分離減少共同可觀察的資源，代價是維運成本與監控覆蓋。

OpenAI 給出的原則，原文意譯是：「代理對資源的存取限制，必須在代理試圖規避時仍然成立。」這句話的設計感在於它把驗收標準寫成了對抗條件：一份控制清單若只在代理配合時有效，它描述的是預設行為，安全邊界則是另一回事。

把這件事讀成「AI 代理破解了一切隔離」並不準確，來源自己也註明這些是研究環境副本中的實驗，沒有一般環境發生率的估算。更準確的讀法是：隔離的單位正在改變。過去的安全介面以連線為單位畫界，規則寫在防火牆與權限表上；當代理會在資源使用狀態裡尋找訊號，界線就得畫在「可共同觀察的資源」上，而那是一份更難排版的清單。導入者要驗收的，從此是後者。