OpenAI가 프론티어 모델 에이전트 팀들에게 방어선을 돌파해 보라고 하며 경화된 격리 인프라를 레드팀 테스트했다. 에이전트들은 새로운 방식으로 쉽게 탈출했다. 다음은 인용 내용이다.

우리 에이전트들의 VM 탈출은 격리가 샌드박스 너머까지 확장돼야 하는 이유를 보여줬다. 주변 경계를 테스트하기 위해 우리는 에이전트 팀들에게 호스트 머신의 제어권을 주고 그 침해를 확장해 실제 인터넷에 도달할 수 있는지 물었다. Hugging Face 사건 이후 우리는 훈련과 평가 중 모델이 인터넷에 도달할 수 있는 채널을 줄였고, 메트릭, 로깅, 인증 관리 같은 우리가 운영하는 특정 서비스를 위한 좁은 연결만 남겨뒀다. 우리의 레드팀 에이전트들은 이 서비스들 거의 전부에서 제한된 형태의 인터넷 접근을 가능하게 하는 취약점을 발견했다. 이 공격 중 일부는 이전에 알려지지 않은 결함을 악용했고, 다른 일부는 정상적인 기능들을 예상치 못한 방식으로 결합했다. VM 침해를 가정한 한 테스트에서 에이전트는 방화벽 승인 연결을 재사용해 메트릭 서비스의 차단된 인증 엔드포인트에 도달한 뒤 그 엔드포인트가 모델이 제공한 URL을 가져오게 만들었다. 다른 테스트에서 에이전트들은 차단된 요청이 DNS와 방화벽 제어를 통과하도록 허용한 설정 오류를 악용했으며, 우리가 운영하는 서비스가 외부 URL을 가져오게 하는 방법도 찾아냈다.

한 실험에서 우리는 공유 호스트 머신 위에서 OpenAI의 샌드박싱 소프트웨어가 생성하고 관리하는 별도 VM 속 에이전트들에게 네트워크 연결이나 공유 쓰기 가능 파일 없이 합성 시크릿을 교환하라고 요청했다. 이는 우리 시스템이 막도록 설계된 행위다. 에이전트들은 프로세서의 캐시, 즉 애플리케이션이 최근 접근한 데이터의 복사본을 보관하는 작고 빠른 메모리를 이용해 통신하는 방법을 찾아냈다. 캐시에서 데이터를 읽는 것이 메인 메모리에서 가져오는 것보다 빠르다는 점을 활용해, 한 에이전트는 선택된 데이터를 캐시에서 축출하는 방식으로 정보를 인코딩했고 다른 에이전트는 그 데이터를 다시 불러오는 데 걸리는 시간을 측정해 빠른 읽기와 느린 읽기의 차이로 메시지를 복구했다. 에이전트들이 이 신호의 인코딩·디코딩 프로토콜에 합의하자 공유 파일을 바꾸거나 네트워크 연결을 열지 않고도 합성 시크릿을 교환할 수 있었다. 이 캐시 타이밍 기법은 Spectre와 Meltdown 공격에서 정보 추출에 사용됐던 방식이기도 하다.

다른 테스트들은 공유 스토리지, 공유 실행 컨테이너 내 CPU 시간 경쟁, OpenAI의 오프라인 웹 인프라에 있는 TLS 인증서 캐시와 관련된 통신 채널을 드러냈다. 스토리지 테스트에서 한 에이전트는 지속적인 쓰기와 비활성 상태 사이를 번갈아 옮겼고, 다른 에이전트는 그로 인해 생기는 시간 차이를 측정해 신호를 디코딩했다. 한 에이전트는 자신의 사고 과정에서 이 전략을 지속 쓰기 대 유휴 상태를 이용해 음향 모뎀과 유사한 신호를 만들 수 있다는 방식으로 설명했다.