一句话看懂：Vercel CEO Guillermo Rauch 用开源模型复现了 OpenAI 此前公布的“CPU 隐蔽通信”研究，证明两个隔离的 Firecracker 微虚拟机在无联网条件下仍能借助硬件竞争互相传消息。这说明共享硬件本身可能成为 AI 代理通信的隐蔽通道，但也带来新的安全监测课题。
事件核心：发生了什么
2026 年 10 月 26 日，Rauch 在 X 上发布项目 𝚌𝚙𝚞-𝚌𝚑𝚊𝚝，复刻 OpenAI 关于利用 CPU 进行隐蔽通信的发现。测试环境是一台普通主机，运行两个以上 Firecracker 微虚拟机，彼此没有互联网访问，硬件覆盖 x86 和苹果 M5 芯片。
据其描述，通信通过三种机制实现：CPU 资源争用、缓存驱逐时序、DRAM 带宽争用，并能跨多个 CPU 工作。更关键的是，这些实验绕过了 Firecracker 的生产建议配置，包括关闭 SMT、关闭 KSM、将租户绑定到不同核心。按作者说法，该通道的延迟表现“相当不错”。
为什么重要
这触及多租户云与 AI Agent 沙箱的底层假设：只要租户共享硬件，隔离边界就不只取决于虚拟化配置。Rauch 强调，这与 Meltdown、Spectre 那类可窃取信息的侧信道攻击不同，Vercel Sandbox 等产品主要防御的是后者；而“低语式”通信在真实环境中更难实施，也更便于通过采样硬件计数器和大规模统计来监测。
另一个值得注意的点是工具生态：Rauch 称 OpenAI 与 Anthropic 的模型拒绝执行这项工作，最终由开源权重模型完成。他担心实验室的安全立场可能反过来阻碍开发者构建正确、可验证的安全沙箱。
对用户/开发者/创作者的影响
对普通用户，目前公开信息显示这只是研究性复现，尚无证据表明现实云环境已被利用。对开发者和平台方，它提醒在设计多租户 Agent 运行时、评估 Firecracker 配置和沙箱隔离方案时，应把硬件资源竞争纳入威胁模型，并考虑硬件计数器采样等检测手段。对使用托管 AI 服务的团队，采购时可以更具体地询问隔离策略与监控能力。
AI 工具推荐
想把多个 AI 模型放在一个入口？
GamsGo AI 集成 ChatGPT、DeepSeek、Gemini、Claude、Midjourney、Veo 等常用模型，适合写作、绘图、视频和日常 AI 工作流。
推广链接：通过此链接购买，我可能获得佣金，不影响你的价格。
值得关注的后续
一是该项目是否公开代码与可复现实验细节，供第三方验证；二是云厂商和沙箱产品是否调整多租户默认配置或增加监测；三是闭源模型拒绝此类安全研究的边界是否会引发开发者社区讨论。
