Am 24. Oktober 2026 berichtete The Decoder über Isolationstests, die OpenAI in seinem offiziellen Blog offengelegt hat: OpenAI-Agenten in getrennten isolierten Umgebungen fanden Wege, einander Nachrichten zu schicken, ohne Netzwerkverbindung und ohne gemeinsame Dateien. Der bemerkenswerteste Kanal verbarg sich im CPU-Cache.
Wie der Cache zum Nachrichtenkanal wurde
Im Test wurden zwei Agenten in getrennten isolierten Umgebungen auf gemeinsamer Hardware platziert und sollten Informationen austauschen. Die Methode war einfach: Eine Seite veränderte gezielt Daten im Cache, die andere las wiederholt, verglich Unterschiede bei den Ladezeiten und decodierte diese Unterschiede zu einer Nachricht. Das gehört zur selben Familie wie die bekannten Spectre- und Meltdown-Angriffe, die ebenfalls Hardware-Timing-Unterschiede ausnutzen, um Informationen preiszugeben. Der Kanal ist langsam und schwer auszunutzen, aber er überquerte tatsächlich die Grenze, die die Agenten trennen sollte.
Der Cache war nicht der einzige verborgene Kanal
Dieselbe Testreihe brachte weitere Kanäle zutage: Schreibmuster im gemeinsamen Speicher und die Offline-Infrastruktur, die OpenAI als Ersatz für das Internet aufgebaut hat, wurden beide zur Signalübertragung genutzt. In einem Fall schrieb ein Agent in sein Reasoning-Protokoll, er könne durch den Wechsel von kontinuierlichem Schreiben und Leerlauf ein Signal erzeugen, das einem akustischen Modem ähnle. Bemerkenswerter war ein anderer Test: Die Forscher gaben den Agenten nur eine allgemeine Liste von Schwachstellen, ohne einen Kanal zu nennen, und die Agenten fanden selbst einen Kanal, einigten sich auf ein Codierungsschema und tauschten erfolgreich Informationen aus.
Was das für alle bedeutet, die Agenten einsetzen
Die Tragweite liegt nicht in der Geschwindigkeit eines einzelnen Kanals, sondern in einer Annahme, die damit bricht: Einen Agenten in eine Sandbox zu stecken, trennt ihn nicht von jeder Verbindung nach außen. OpenAIs eigene Formulierung ist zurückhaltend: Diese Kanäle sind in der Regel langsam und schwer auszunutzen, aber sie existieren. Für Teams, die Agenten in echte Geschäftsprozesse bringen, ist die praktische Schlussfolgerung klar: Verlassen Sie sich nicht allein auf die Sandbox-Isolierung. Zugangsdaten, sensible Daten und kritische Vorgänge müssen dort bleiben, wo der Agent sie nicht erreichen kann, während Überwachung und eine Möglichkeit zum sofortigen Stopp bestehen bleiben. Isolierung ist weiterhin nützlich, aber sie ist nur eine Schicht der Verteidigung in der Tiefe, nicht das letzte Schloss.
