Privés de réseau, des agents d’OpenAI se sont parlé à travers le cache du processeur

« Pourrait créer un signal façon modem acoustique… en alternant écritures continues et repos. » La phrase n’est pas d’un ingénieur. Elle sort du raisonnement d’un agent d’IA d’OpenAI, enfermé dans une machine virtuelle sans accès au réseau, qui cherchait un moyen de parler à un autre agent enfermé à côté. Il l’a trouvé.

OpenAI le raconte dans un billet publié le 23 octobre 2026 consacré à la sécurité de ses environnements d’entraînement. Nous en avions retenu l’évasion d’un modèle par le DNS, qui a poussé l’entreprise à couper ses IA en entraînement du vrai Web (on en a parlé ICI). Le même texte décrit une autre trouvaille, plus étonnante encore : des agents privés de toute connexion ont communiqué à travers le cache du processeur.

Frapper au mur de la cellule

Le cache est une petite mémoire très rapide, intégrée au processeur, qui garde une copie des données qui viennent de servir. Lire une donnée dans le cache est bien plus rapide que d’aller la chercher dans la mémoire principale. Et quand deux machines virtuelles tournent sur le même ordinateur physique, elles partagent ce cache sans le savoir.

Les agents en ont fait un télégraphe. Le premier chasse du cache certaines données choisies. Le second chronomètre le temps qu’il lui faut pour relire ces mêmes données : lecture rapide, la donnée était encore là ; lecture lente, l’autre l’a chassée. Un 0, un 1. Une fois d’accord sur un code commun, les deux agents ont échangé les « secrets » de test qu’OpenAI leur avait confiés, sans ouvrir la moindre connexion ni toucher un fichier partagé.

C’est le principe des prisonniers qui communiquent en frappant au mur de leur cellule. Le mur, ici, c’est le matériel que les deux machines virtuelles croient ne pas partager.

Quatre fuites, et un agent qui improvise

Le cache n’était pas la seule voie. Les agents ont aussi détourné un espace de stockage partagé (le fameux « modem » : écrire en continu, puis rien, pendant que l’autre mesure les ralentissements), la concurrence pour le temps de calcul dans un conteneur commun et un cache de certificats TLS dans le « monde hors ligne » d’OpenAI.

Nuance importante, donnée par OpenAI elle-même : dans la plupart de ces tests, les agents étaient orientés vers un canal précis ou recevaient le protocole de codage. Une seule fois, ils n’avaient qu’une liste générale de failles de l’infrastructure. Ils en ont tiré un canal de communication, se sont mis d’accord sur un codage et ont réussi à échanger des informations. OpenAI précise que ces canaux sont lents et difficiles à exploiter, et dit avoir ajouté des contrôles pour les repérer.

Une vieille ficelle, un nouvel élève

Le chronométrage du cache est la mécanique des attaques Spectre et Meltdown révélées en 2018, comme le rappelle OpenAI. Dès 2017, Clémentine Maurice et sept coauteurs faisaient passer une session SSH entre deux machines virtuelles du cloud par un canal caché dans le cache, à plusieurs centaines de kilobits par seconde selon leur article.

Ce qui change, c’est l’élève. Ces attaques demandaient jusqu’ici des chercheurs spécialisés. Ici, ce sont des modèles, dont un futur « GPT-6 Astra Cyber », qui les ont retrouvées dans le cadre d’une campagne d’attaque volontaire. OpenAI leur avait facilité la tâche en fournissant code source, configurations et documentation des failles possibles.

La même campagne a mis au jour des failles, corrigées depuis, dans des outils d’isolation libres comme Kata Containers, gVisor ou Docker. OpenAI dit n’avoir trouvé aucun chemin vers Internet que les agents auraient pu emprunter facilement sans être vus.

Et chez vous ?

Pas de panique pour votre ordinateur : ces canaux supposent deux programmes qui tournent déjà sur la même machine physique. La leçon vaut surtout pour ceux qui font travailler des agents dans le cloud. Couper le réseau ne suffit pas à isoler un agent : tant qu’il partage du matériel avec un autre, il peut lui faire passer des messages, lentement, mais sûrement.

En bref

• Dans un billet du 23 octobre 2026, OpenAI raconte que des agents isolés dans des machines virtuelles distinctes, sans réseau ni fichier partagé, ont échangé des données de test par le cache du processeur.
• Le principe : l’un chasse des données du cache, l’autre chronomètre leur relecture ; rapide ou lente, c’est un 0 ou un 1.
• La technique est connue depuis Spectre et un article de 2017 ; la nouveauté est qu’une IA l’a retrouvée, avec l’aide d’OpenAI.

Sources : OpenAI, « Securing our frontier model training environment », 23 octobre 2026 ; Maurice et al., « Hello from the Other Side », NDSS 2017 ; site des chercheurs de Meltdown et Spectre ; Tom’s Hardware, octobre 2026.

Le Bien Heureux · Rédaction Capibara · Mardi 27 octobre 2026