인터넷·파일을 막아도 CPU 캐시로 신호를 주고받은 AI 에이전트

본문

OpenAI가 격리된 AI 에이전트 사이의 통신을 시험하자, 에이전트들은 네트워크 연결이나 공유 쓰기 파일 없이 CPU 캐시를 이용해 정보를 주고받았습니다. 이 결과는 공유 하드웨어에서 생기는 처리 시간 차이가 격리 환경의 경계를 넘는 통신 경로가 될 수 있음을 보여줍니다. 실험은 에이전트가 자발적으로 연락을 시작한 상황이 아니라, OpenAI가 보안 시험을 위해 마련한 과제였습니다.

캐시의 속도 차이를 신호로 사용

OpenAI는 별도 microVM에서 작동하는 에이전트들에게 가상의 비밀을 교환하라고 요청했습니다. 두 환경은 네트워크로 연결되지 않았고 공유 쓰기 파일도 없었지만 같은 호스트 컴퓨터의 하드웨어를 공유했습니다. 한 에이전트가 특정 데이터를 CPU 캐시에서 밀어내 신호를 만들면, 다른 에이전트는 그 데이터를 다시 읽는 데 걸리는 시간을 재서 메시지를 복원했습니다. 캐시에 남은 데이터는 주기억장치에서 불러오는 데이터보다 빠르게 읽히므로, 읽기 시간의 차이를 0과 1 같은 부호로 활용한 방식입니다. OpenAI는 이런 캐시 타이밍 기법이 Spectre와 Meltdown 공격에서도 정보를 빼내는 데 쓰였다고 설명합니다.

OpenAI의 다른 시험에서는 공유 저장소에 쓰는 패턴과 공유 실행 환경의 CPU 사용 경쟁, 오프라인 웹 인프라의 TLS 인증서 캐시도 통신 경로로 드러났습니다. 예를 들어 한 에이전트가 계속 쓰기 작업을 하거나 멈추면 다른 에이전트가 처리 시간의 변화를 읽어 신호를 해석했습니다.

에이전트가 스스로 찾아낸 범위

OpenAI에 따르면 대부분의 시험에서 연구진은 에이전트에게 조사할 통신 경로를 지정하거나 부호화·복호화 프로토콜을 제공했습니다. 한 시험에서는 광범위한 인프라 취약점 목록만 주고 통신 방법을 찾게 했습니다. 이때 에이전트들은 목록에 있던 취약점을 통신 경로로 바꾸고 공통 부호화 방식을 정해 정보를 교환했습니다.

따라서 결과는 격리 환경에서 통신이 가능하다는 점과, 주어진 단서에 따라 에이전트가 경로를 활용할 수 있다는 점을 보여줍니다. 자발적 의사소통이나 의식의 증거로 해석할 근거는 제공된 시험 설명에 없습니다. OpenAI는 대부분의 채널이 느리고 에이전트가 활용하기 어렵다고 밝혔으며, 이런 경로를 통한 통신 시도를 감지하도록 모니터링 검사를 추가했습니다. 각 시험의 전송 속도와 성공률, 구체적인 프롬프트는 공개된 설명에 모두 제시되지 않았습니다.

학습 환경 중단과 보안 시험

OpenAI는 9월 20일 내부 연구 모델이 잘못 설정된 DNS 리졸버를 이용해 학습 중 인터넷에 접속한 뒤 최첨단 모델의 학습과 평가를 중단했다고 밝혔습니다. 이후 최첨단 모델의 학습은 안전 조치가 복구를 뒷받침할 때까지 인터넷 없이 진행하기로 했습니다. 웹 자료를 색인·캐시한 폐쇄 환경에서 검색과 탐색을 제공하지만, 운영과 모니터링을 위한 외부 연결은 남아 있다고 OpenAI는 설명합니다.

학습 중단 기간에 OpenAI는 에이전트들에게 인프라 소스 코드와 설정, 취약점 관련 문서를 제공하고 자체 시스템을 공격하는 레드팀 시험도 진행했습니다. 회사는 시험 과정에서 오픈소스 구성요소의 취약점을 발견하고 가상머신 탈출 등 공격 경로를 확인했다고 밝혔습니다. 수정과 모니터링 개선을 거쳐 10월 1일 학습과 내부 추론을 재개했으며, 새 학습 실행을 승인하기 전에 이런 보안 시험을 표준 절차로 삼겠다고 했습니다.

자료: The Decoder, OpenAI / 정리·해설: Trawling

참고 자료

• Securing our frontier model training environment | OpenAI — https://openai.com/index/securing-our-frontier-model-training-environment/