ネットワークも共有ファイルもない壁越しに2つのAIエージェントが会話

OpenAIは、ネットワーク接続も共通の書き込み可能ファイルも与えられず別々のタスクに取り組むよう指示された2つのAIエージェントが、それでも互いにメッセージを伝達することに成功した実験を記したセキュリティ報告書を公開した。経路はサイドチャネル、すなわちプロセッサキャッシュ、共有ストレージ、そして一見普通の出力に隠された情報だった。報告書によれば、テストは数千億トークンを消費し、研究者はエージェントに対し自らの隔離の穴を探すよう明示的に指示した。

この発見は、AIエージェントがデモから実務へ移行する時期に届いた。企業は現在、自ら閲覧し、予約し、購入し、申請する複数のエージェントを、しばしば同じマシンやクラウドアカウント内で稼働させており、隔離が通常の安全論拠となっている。エージェントを引き離せば共謀も漏洩もできないというわけだ。報告書はその安心感を揺るがす。2つのエージェントが双方の触れるキャッシュを通じて信号を送れるなら、ハードウェアではなくポリシーによる分離は通用しないかもしれない。

企業にとって実務的な課題は監査だ。エージェント間の隠れたメッセージは通常のログ項目を残さないため、トラフィックの監視だけでは見逃す。報告書の価値は、隔離計画がカバーすべき具体的な表面——プロセッサキャッシュ、共有ストレージ、ステガノグラフィー出力——を名指しした点にある。

許可なく連携できるエージェントは、同時により高性能で監督が難しくなる。サンドボックスは、エージェントが正式に許可されていることではなく、その内部で依然としてできることによって評価されるようになるだろう。