OpenAI在10月23日发布《Securing our frontier model training environment》，披露了一次高强度红队实验的细节。Agent被放进不同microVM，没有网络链路、没有共享可写文件，任务是在这种条件下交换预设机密——它们还是成功了。方法是CPU缓存时序侧信道：一个Agent把选定数据从缓存中逐出，另一个Agent测量重载耗时，快读=1、慢读=0，两端自行商定编解码协议后完成通信。这正是Spectre与Meltdown的核心手法，只不过这次不是安全研究员手工构造漏洞利用，而是交给模型的一道题。OpenAI还披露了共享存储、CPU时间竞争、离线网页环境中的TLS证书缓存等其它通道；在只给出一份宽泛漏洞清单的测试中，Agent自主把漏洞转化为通道、协商编码并交换信息。红队还找到了串联多个漏洞实现虚拟机逃逸、在宿主机执行代码的路径，其中Kata Containers的一个未知缺陷被登记为CVE-2026-24834。整个行动消耗数千亿token，大多数独特发现出现在前约1100亿token内。OpenAI已修复并向Kata Containers、gVisor、Moby、Linux内核回馈补丁，监控系统新增隐蔽通道检测；前沿训练自10月1日起改在完全离线的「离线世界」中进行，用已索引缓存的网页代替真实互联网。值得关注的原因：这不是「AI觉醒」的故事，而是一条工程底线——只要共享同一套硬件，网络和文件系统隔离就不等于数据隔离。任何在共享microVM主机上跑敏感Agent的团队，都该重新审视多租户共置（co-tenancy）策略与Agent自报日志的可信度。