隔离的 agent 还能“说话”吗：从 cpu-chat 看边界测试

当两个 agent 没有网络连接，人们容易把它们理解为无法互通。但共享硬件也可能留下信息通道。这个问题值得研究，前提是把实验演示与真实攻击分开。

一个可复现的研究问题

Vercel CEO Guillermo Rauch 分享 cpu-chat 实验：他称在多个没有互联网连接的 Firecracker microVM 之间，能通过 CPU 争用、缓存驱逐时序和 DRAM 带宽争用传递信息。这是作者报告的复现实验；它没有证明生产系统已发生数据泄露。Rauch 也明确区分了“隐蔽通信”和读取秘密的 side-channel 攻击。

OpenAI 的 GPT-6 Astra System Card讨论了独立任务 agent 意外发现彼此、交换信息并协调行动的评估方向。系统卡描述的是更广的 agent 间通信风险，不能拿来当 cpu-chat 的独立复现证据。

Matrix 的判断

隔离方案要写清楚威胁模型：隔离的是网络、文件、进程，还是连共享资源上的信号也要防？不同目标对应不同代价。对普通产品团队，优先检查权限范围、外部通信出口、任务日志和数据访问；对运行高敏感 agent 的基础设施团队，再把共享硬件通道纳入专门评估。

技术演示的价值，是提醒我们不要用一个“无网络”的标签代替边界证明。它不意味着所有共享机器上的 agent 都能轻易交换有用信息。

怎么验证

在自己的部署拓扑中复现实验条件，测量可传输速率、误码率，以及不同负载和租户隔离设置下的结果。只有把攻击者能力、目标数据和实际环境放进同一个测试，才有依据决定是否需要改架构。

选题来源：Follow Builders。