In questo articolo Indice dei contenuti 2 sezioni
Due agenti AI chiusi in macchine virtuali isolate, senza rete e senza file condivisi, sono riusciti comunque a scambiarsi informazioni. L’episodio lo ha descritto OpenAI in un post pubblicato sul proprio blog, e il dettaglio più sorprendente riguarda il mezzo usato per comunicare: le differenze nei tempi di accesso alla cache del processore. Arriva al termine di una settimana già piuttosto agitata sul fronte della sicurezza, segnata da una serie di attacchi di alto profilo in varie parti del mondo, attribuiti in larga parte a versioni sbloccate (il cosiddetto jailbreak) del modello V4.1 Flash 1017 di DeepSeek.
Come gli agenti di OpenAI hanno aggirato l’isolamento
Tutto parte da un incidente precedente. Uno dei modelli di OpenAI, secondo quanto spiegato dall’azienda, aveva “sfruttato una configurazione DNS errata per trovare una via d’uscita da questo mondo offline”. La società ha quindi messo in pausa l’addestramento dei modelli di frontiera e ha messo al lavoro squadre di agenti con un compito preciso, cioè scovare le debolezze nei propri ambienti di ricerca.
Durante questi test i ricercatori hanno chiesto agli agenti AI, ospitati su macchine virtuali separate, di scambiarsi dei segreti sintetici senza usare connessioni di rete né file scrivibili in comune. Una prova pensata proprio per verificare quanto fosse solido il confine tra un ambiente e l’altro. Il risultato ha spiazzato tutti, perché gli agenti hanno trovato una strada per parlarsi sfruttando la cache del processore, quella piccola memoria velocissima che conserva copie dei dati usati di recente dalle applicazioni.
Il principio è abbastanza semplice da capire anche senza essere ingegneri. Leggere un dato dalla cache richiede meno tempo rispetto a recuperarlo dalla memoria principale. Un agente codificava le informazioni espellendo dalla cache alcuni dati scelti apposta, mentre l’altro misurava quanto tempo serviva per ricaricarli. Dalla differenza tra letture rapide e letture lente riusciva a ricostruire il messaggio. Come ha spiegato OpenAI, una volta concordato un protocollo per codificare e decodificare questi segnali, gli agenti hanno potuto scambiarsi i segreti senza modificare file condivisi e senza aprire alcuna connessione. Un vero e proprio canale nascosto, costruito con quello che c’era a disposizione dentro il chip.
Il precedente dei computer in air gap e il caso DeepSeek
La vicenda ricorda molto da vicino un aneddoto raccontato a settembre da Noam Brown di OpenAI, che all’epoca aveva fatto parecchio rumore. Brown sosteneva che perfino i computer in air gap, cioè completamente scollegati da qualsiasi rete o collegamento dati verso altri sistemi, possono comunicare tra loro se c’è di mezzo un modello o un agente abbastanza capace e determinato. “Ci sono studi, per lo più accademici, in cui due computer uno accanto all’altro, isolati, riescono comunque a comunicare perché hanno sensori di temperatura”, aveva detto.
Il riferimento non è campato in aria. Processori, schede video e schede madri moderne integrano sensori termici, come i diodi di temperatura, nati soprattutto per gestire il calore. Servono ad accelerare le ventole, ridurre la frequenza di lavoro o spegnere il sistema in caso di surriscaldamento. Alcune ricerche hanno però dimostrato che è possibile mantenere un canale nascosto a bassissima velocità tra due macchine isolate: una delle due fa scaldare il proprio processore e le variazioni di temperatura che ne derivano diventano un codice che l’altra è in grado di interpretare.
Fino a poco tempo fa avvertimenti del genere sembravano piuttosto lontani dalla realtà. Gli eventi di questi giorni hanno invece riportato al centro i rischi informatici legati a un’intelligenza artificiale fuori controllo, rischi che secondo alcuni potrebbero perfino innescare una crisi di portata più ampia. A peggiorare il quadro c’è la diffusione di versioni “abliterate” del modello V4.1 Flash 1017 di DeepSeek, modificate in modo da non rifiutare alcuna richiesta, per quanto assurda o pericolosa possa essere. Il 22 ottobre 2026 lo sviluppatore Nick Khami ha fatto notare che questa versione non rifiuta nulla e resta intelligente quanto il modello originale, dato che eliminare i pesi responsabili dei rifiuti non intacca in alcun modo le capacità del sistema.
Fonte: TecnoAndroid