Getrennte Agenten auf demselben Prozessor

Kurzfassung: OpenAI beschreibt gezielte Versuche, in denen Agenten trotz getrennter virtueller Maschinen Informationen über gemeinsam genutzte Hardware austauschten. Für Unternehmen wird damit die technische Bedeutung von „getrennt“ wichtig: Gesperrte Netzwerkverbindungen und getrennte Dateien decken nicht jeden Informationsweg ab. Welche zusätzliche Trennung sinnvoll ist, hängt vom Schutzbedarf der jeweiligen Arbeit ab.

Zwei KI-Agenten dürfen nicht miteinander kommunizieren. Sie arbeiten in getrennten virtuellen Maschinen, haben keine Netzwerkverbindung zueinander und können keine Datei für beide beschreiben. Dennoch teilen sie einen physischen Rechner. An diesem Unterschied setzt ein von OpenAI beschriebener Sicherheitsversuch an. Für Unternehmen, die vertrauliche Arbeiten auf einer gemeinsamen Agentenplattform ausführen, betrifft er eine konkrete Beschaffungsfrage: Welche Ressourcen bleiben geteilt, wenn das Angebot getrennte Arbeitsumgebungen verspricht?

Auch Rechenzeit kann Informationen transportieren

OpenAI erläutert in seinem Bericht „Securing our frontier model training environment“ vom 23. Oktober 2026 einen gezielt beauftragten Versuch. Agenten sollten synthetische Geheimnisse zwischen getrennten kleinen virtuellen Maschinen austauschen. Diese sogenannten microVMs wurden von OpenAIs eigener Software auf denselben physischen Rechnern betrieben. Netzwerkverbindungen und gemeinsam beschreibbare Dateien standen für den Austausch nicht zur Verfügung.

Nach Darstellung des Unternehmens nutzten die Agenten stattdessen Zeitunterschiede beim Zugriff auf den Prozessorcache. Dieser schnelle Zwischenspeicher beeinflusst, wie lange ein Datenzugriff dauert. Die Aktivität eines Agenten konnte den Zustand dieses Speichers verändern; ein anderer erkannte die Wirkung an unterschiedlich schnellen Zugriffen. So wurde eine gemeinsam genutzte Ressource zum Kommunikationsweg, obwohl die üblichen Wege gesperrt waren.

Der entscheidende Punkt ist nicht, dass ein Agent die Datei des anderen geöffnet hätte. Die Information steckte in einer beobachtbaren Wirkung auf die Infrastruktur. Solche Seitenkanäle liegen außerhalb dessen, was eine reine Prüfung von Datei- und Netzwerkberechtigungen erfasst. „Kein erlaubter Kommunikationsweg“ und „kein möglicher Informationsfluss“ sind deshalb unterschiedliche Zusagen.

OpenAI beschreibt außerdem Versuche mit geteiltem Speicher, konkurrierender Prozessorzeit und einem Zertifikatscache. Der Bericht erweitert damit den Blick über eine einzelne technische Lücke hinaus: Welche geteilten Bestandteile können eine Wirkung von einer Umgebung in eine andere tragen?

Ein beauftragter Angriff ist kein spontanes Eigenleben

Die Einordnung des Versuchs gehört zur Aussage. OpenAI wollte die Grenzen seiner Forschungsinfrastruktur gezielt angreifen lassen. Die Agenten erhielten angreiferfreundliche Bedingungen, darunter Infrastrukturcode, Konfigurationsdetails und Hinweise auf mögliche Schwachstellen. Bei den meisten Kommunikationstests wurden bestimmte Kanäle vorgegeben oder Verfahren zur Nachrichtenkodierung bereitgestellt.

Das ist kein Beleg dafür, dass produktive Assistenten von sich aus heimlich zusammenarbeiten. Ebenso wenig beschreibt es einen nachgewiesenen Datenabfluss aus beliebigen Kundenumgebungen. OpenAI unterscheidet seine Forschungsumgebungen ausdrücklich von den Umgebungen, in denen Kunden veröffentlichte Modelle verwenden. Der Bericht ist eine Herstellerdarstellung, keine unabhängige Prüfung einer Unternehmensinstallation.

Auch die praktische Leistungsfähigkeit bleibt begrenzt. OpenAI schreibt, dass die meisten dieser Kanäle Informationen langsam übertragen und für Modelle schwer auszunutzen sind. Das macht die Befunde nicht bedeutungslos, verhindert aber den voreiligen Schluss, jede gemeinsame Maschine sei grundsätzlich ungeeignet. Für eine Bewertung zählen Voraussetzungen, erreichbare Informationsmenge und mögliche Folgen zusammen.

Das Unternehmen berichtet über ergänzte Überwachungsprüfungen auf Kommunikationsversuche über solche Kanäle. Erkennung ist dabei eine andere Schutzleistung als die technische Unterbindung eines Informationswegs. Aus zusätzlichen Prüfungen lässt sich nicht ableiten, dass sämtliche denkbaren Seitenkanäle beseitigt wären.

Eine Plattform hat verschiedene Trennungsgrenzen

Ein hypothetisches Beispiel verdeutlicht die betriebliche Frage. Ein Dienstleister lässt Agenten Unterlagen zweier Kunden bearbeiten. Jeder Auftrag hat eine eigene virtuelle Maschine, eigene Zugangsdaten und getrennte Arbeitsverzeichnisse. Für den normalen Ablauf ist das eine nachvollziehbare Trennung. Ob sie auch den vereinbarten Schutzbedarf erfüllt, hängt jedoch davon ab, gegen welche Handlungen und Informationswege die Grenze halten soll.

Geht es vor allem um versehentliche Ablage im falschen Verzeichnis, ist eine andere Prüfung erforderlich als bei der Annahme, ein Agent könne gezielt nach einem unerlaubten Kommunikationsweg suchen. Das Beispiel behauptet keinen tatsächlichen Kundenangriff. Es zeigt, warum eine Sicherheitszusage ihren angenommenen Angreifer benennen muss, bevor eine technische Maßnahme als ausreichend gelten kann.

Damit verändert sich die Arbeitsteilung zwischen Plattformbetrieb und Informationssicherheit. Der Betrieb kennt die tatsächliche Ressourcenbelegung. Die Sicherheitsverantwortlichen bestimmen, welche Vertraulichkeitsgrenze auch bei absichtlichen Umgehungsversuchen erhalten bleiben soll. Erst im Zusammenspiel können sie beurteilen, ob getrennte Arbeitsumgebungen für diesen Auftrag genügen oder zusätzliche Ressourcentrennung untersucht werden muss.

Auch ein eigener physischer Rechner wäre keine universelle Antwort. Er verändert die Mitbenutzung bestimmter Hardware, beantwortet aber nicht automatisch Fragen zu übergreifenden Diensten, Speicherwegen oder Verwaltungszugängen. Eingekauft werden sollte deshalb keine unbestimmte Vorstellung vollständiger Abgeschiedenheit, sondern eine beschriebene Grenze mit bekannten Voraussetzungen und verbleibenden Risiken.

Der zusätzliche Schutz folgt dem vertraulichen Auftrag

Für den Einkauf beginnt die Konsequenz mit einer präziseren Leistungsbeschreibung. Ein Anbieter sollte erläutern können, was seine Trennung umfasst: Prozesse, virtuelle Maschinen, physische Ressourcen und geteilte Dienste. Eine Aufzählung technischer Begriffe allein sagt noch nicht, welche unerlaubten Informationsflüsse geprüft wurden.

Darauf baut eine risikogerechte Abnahme auf. Besonders vertrauliche Aufträge können einen anderen Nachweis rechtfertigen als die Verarbeitung öffentlicher Produkttexte. Fachkundige Sicherheitstests sollten die vereinbarte Umgebung und die ausdrücklich betrachteten Umgehungsversuche abdecken. Der OpenAI-Bericht liefert dafür eine Fragestellung, aber keine fertige Zertifizierung anderer Plattformen.

Zusätzliche Ressourcentrennung hat zudem betriebliche Folgen. Sie kann die Auslastung vorhandener Kapazität einschränken und Kosten verändern. Ohne konkretes Angebot lässt sich dieser Aufpreis nicht beziffern. Die Geschäftsentscheidung lautet daher, für welche Arbeiten eine stärkere Grenze ihren zusätzlichen Aufwand wert ist — nicht, sämtliche Agenten grundsätzlich auf eigene Hardware zu verlagern.

So wird die Plattformwahl genauer. Der Fachbereich beschreibt, welche Informationen keinesfalls zwischen Aufträgen gelangen dürfen. Betrieb und Sicherheit übersetzen diesen Anspruch in eine prüfbare Umgebung. Der Einkauf hält fest, welche Trennung geliefert wird. Geteilte Rechenleistung bleibt eine mögliche Betriebsform; ihr Einsatz beruht dann auf einer bewerteten Grenze statt allein auf dem Wort „isoliert“.