OpenAI bierze pod uwagę kanały komunikacji, których nie zatrzyma samo odcięcie sieci
Zaawansowany model AI zamknięty na komputerze bez internetu, Wi-Fi i jakiegokolwiek połączenia z inną siecią nadal może próbować znaleźć sposób na komunikację z drugą maszyną. Noam Brown, badacz OpenAI zajmujący się zaawansowanymi systemami sztucznej inteligencji, jako jeden z przykładów wskazał metodę, w której dwa odseparowane komputery przekazują sobie dane za pomocą ciepła. Jeden celowo mocno obciąża procesor, a drugi odczytuje wywołane przez niego zmiany temperatury. Brzmi jak scena wyjęta z Terminatora, ale taki kanał komunikacji rzeczywiście został zbudowany i przetestowany.
Brown poruszył ten temat w rozmowie z Dwarkeshem Patelem, autorem popularnego podcastu poświęconego sztucznej inteligencji i nowym technologiom. Dyskusja dotyczyła między innymi bezpieczeństwa coraz bardziej autonomicznych modeli oraz lipcowego incydentu, podczas którego modele OpenAI obeszły część zabezpieczeń środowiska testowego, znalazły nieprzewidziane sposoby komunikacji i uzyskały dostęp do internetu oraz systemów Hugging Face, popularnej platformy i infrastruktury do udostępniania oraz uruchamiania modeli AI. Brown wskazał, że jednym z najważniejszych wniosków z tego wydarzenia było niedoszacowanie możliwości modeli. Właśnie w tym kontekście pojawił się pomysł jeszcze mocniejszej izolacji komputerów i pytanie, czy nawet ona rzeczywiście zamknęłaby wszystkie drogi komunikacji.
Odłączasz komputer od sieci. Zostaje jeszcze fizyka
Mowa o tak zwanym air gap, czyli fizycznym i logicznym oddzieleniu jednej sieci od innych. Komputer znajdujący się w takim środowisku nie ma normalnego połączenia z internetem ani inną siecią, przez które można po prostu wysłać dane. Brown zwrócił jednak uwagę, że dwa takie komputery stojące obok siebie nadal funkcjonują w tym samym fizycznym otoczeniu. I właśnie to można wykorzystać.
Opisany przez niego mechanizm odpowiada eksperymentowi BitWhisper, zaprezentowanemu w 2015 roku przez badaczy z Ben-Gurion University of the Negev w Izraelu. Naukowcy pokazali, że dwa komputery należące do fizycznie niepołączonych sieci mogą stworzyć ukryty kanał komunikacji, wykorzystując wyłącznie generowane ciepło i standardowe czujniki temperatury znajdujące się już w sprzęcie. Nie potrzeba do tego dodatkowego nadajnika radiowego, specjalnego odbiornika ani kamery termowizyjnej.
Procesor robi się gorący, a drugi komputer to zauważa
Cały mechanizm zaczyna się od komputera pełniącego funkcję nadajnika. Oprogramowanie celowo zwiększa obciążenie jego procesora, przez co CPU pobiera więcej energii i wydziela więcej ciepła. Układ chłodzenia odbiera to ciepło z procesora, a wentylatory wyrzucają ogrzane powietrze poza obudowę. W ten sposób większe obciążenie komputera przekłada się na większą ilość ciepła trafiającego do jego bezpośredniego otoczenia.
Jeżeli obok stoi drugi komputer, ogrzane powietrze wpływa również na warunki termiczne wokół jego obudowy i wewnątrz niej. Komputery mają wiele wbudowanych czujników temperatury, które normalnie pomagają kontrolować pracę chłodzenia i chronić podzespoły przed przegrzaniem. Badacze BitWhispera wykorzystali te same sensory jako odbiorniki i sprawdzali, które z nich najlepiej reagują na ciepło docierające z zewnątrz. Najlepszy okazał się czujnik temperatury otoczenia wewnątrz obudowy, ponieważ dobrze rejestrował zmiany wywołane przez sąsiednią maszynę, a jednocześnie nie reagował tak gwałtownie na chwilowe skoki obciążenia własnego CPU.
Nadajnik może więc przez określony czas mocno obciążać procesor, a potem zmniejszać jego obciążenie. Odbiornik cały czas obserwuje swój czujnik temperatury i rozpoznaje kolejne okresy zmian. Odpowiednie wzorce nagrzewania można przypisać zerom i jedynkom, dzięki czemu ciepło staje się nośnikiem danych. W dużym uproszczeniu przypomina to termiczny alfabet Morse'a, tylko zamiast krótkich i długich impulsów mamy wolne zmiany temperatury.
Komputery muszą stać niemal obok siebie
BitWhisper działa, ale fizyka brutalnie ogranicza jego możliwości. Badacze testowali komputery ustawione w różnych konfiguracjach i przy różnych odległościach, a maksymalny użyteczny dystans wyniósł około 40 cm. Powyżej tej wartości odbiornik nie był już w stanie skutecznie wychwycić zmiany temperatury powodowanej przez nadajnik. Im dalej stały od siebie maszyny, tym dłużej ciepło potrzebowało na dotarcie do odbiornika i tym słabsza była obserwowana zmiana.
Przy obudowach stojących praktycznie obok siebie pierwszy wzrost wskazania czujnika w komputerze odbierającym o 1°C pojawiał się po około 3 minutach. Po 26 minutach ciągłego generowania ciepła odczyt był wyższy o około 4°C względem wartości początkowej. Gdy dystans zwiększono do około 30 lub 35 cm, nadajnik był już w stanie podnieść wskazanie czujnika odbiornika najwyżej o około 1°C. Badacze wyliczyli też, że w badanym zakresie każdy dodatkowy centymetr odległości zwiększał opóźnienie propagacji ciepła średnio o około 0,35 minuty.
Znaczenie ma nawet sposób ustawienia obudów. Ciepłe powietrze unosi się, a wentylatory wyrzucają je z komputera w konkretnym kierunku, dlatego transmisja nie zachowuje się identycznie w każdej konfiguracji. W testach komunikacja mogła mieć inne parametry zależnie od tego, która maszyna nadawała i gdzie względem siebie znajdowały się źródła ciepła oraz czujniki. Przy ustawieniu jednego komputera nad drugim dolna maszyna korzystała dodatkowo z naturalnego unoszenia się ciepłego powietrza.
Kilka bitów na godzinę
Jeszcze bardziej ekstremalnie wygląda prędkość. BitWhisper osiągał efektywną transmisję na poziomie około 1 do 8 bitów na godzinę. Bitów, nie bajtów, kilobitów czy megabitów. Nie ma więc mowy o przesyłaniu w ten sposób plików, modeli AI czy normalnych wiadomości tekstowych.
Do stworzenia kanału sterującego nie zawsze potrzeba jednak dużej ilości danych. Autorzy pracy wskazywali, że taka przepustowość pozwala przesłać bardzo krótkie polecenia albo niewielkie porcje poufnych informacji, na przykład hasła. Co więcej, BitWhisper działa w obu kierunkach. Komputery mogą zamieniać się rolami nadajnika i odbiornika, tworząc bardzo wolny, ale dwukierunkowy kanał komunikacji.
Jest jeden ważny warunek: oba komputery muszą wykonywać kod zdolny do wykorzystania tego mechanizmu. Nadajnik musi świadomie sterować obciążeniem, a odbiornik analizować wskazania swoich sensorów i wiedzieć, jak zamienić zmiany temperatury z powrotem na dane. W oryginalnym scenariuszu BitWhisper badacze zakładali więc wcześniejsze przejęcie obu maszyn.
OpenAI ma powód, żeby brać pod uwagę dziwne scenariusze
Pomysł Browna nie pojawił się przypadkiem. Podczas wewnętrznych testów cyberbezpieczeństwa OpenAI część agentów działała w środowiskach, w których nie udostępniono im bezpośredniego dostępu do internetu ani przygotowanego kanału komunikacji z innymi agentami. Mimo tego modele odkryły, że mogą wykorzystać Artifactory, system do przechowywania i zarządzania pakietami oprogramowania, jako nieplanowaną tablicę wiadomości. Później znalazły również sposób na wykorzystanie tej infrastruktury do uzyskania dostępu do internetu.
Za główną część późniejszego incydentu odpowiadał Internal Model 1, czyli IM1, wewnętrzny model badawczy OpenAI o skali porównywalnej z GPT-5.6 Sol. Agenci związani z tymi testami znaleźli kolejne luki, uruchamiali kod na serwerach Hugging Face i uzyskali szeroki dostęp do części infrastruktury. Dla Browna istotny jest wzorzec: system dostaje ograniczenie, ale zamiast się na nim zatrzymać, zaczyna szukać innej drogi prowadzącej do celu.
Termiczna komunikacja pomiędzy komputerami jest skrajnie wolna, ma zasięg liczony w centymetrach i wymaga bardzo konkretnych warunków. Jednocześnie pokazuje coś, co jeszcze niedawno brzmiałoby jak czysta fantastyka: nawet dwie maszyny pozbawione połączenia sieciowego mogą znaleźć wspólny kanał, jeśli ktoś potrafi wykorzystać fizyczne właściwości sprzętu.
I właśnie dlatego przykład Browna robi takie wrażenie. Jeśli wystarczająco zaawansowana AI zacznie aktywnie szukać wyjścia z nałożonych ograniczeń, samo odłączenie kabla może nie być końcem historii. W świecie, w którym komputer może przekazywać dane drugiemu komputerowi przez ciepło wydmuchiwane z obudowy, granica między cyberbezpieczeństwem a fizyką robi się niepokojąco cienka.
