想象一个场景：一间高度保密的机房，两台电脑并排放在同一张桌上。一台连接内网处理核心机密，另一台连着互联网。它们之间没有任何网线、WiFi、蓝牙——物理隔离，这是信息安全的终极防线。
但如果我告诉你，这两台电脑可以靠“体温”互相传话呢？
这不是科幻。2015年，以色列本古里安大学的研究团队发表了一篇论文，标题就足以让人脊背发凉：BitWhisper: Covert Signaling Channel between Air-Gapped Computers Using Thermal Manipulations（BitWhisper：利用热操控在物理隔离计算机之间建立隐蔽信道）。
物理隔离的“信仰”是怎么被打破的
先说背景。“Air-Gap”（气隙隔离）是安全领域的终极手段：把一台电脑从所有网络中物理断开，理论上它就成了信息孤岛——没有网线，没有无线信号，任何数据都出不去。军事指挥系统、核设施控制网络、金融核心交易系统，都依赖这种隔离。
但攻击者一直在寻找打破这堵墙的方法。声波、电磁辐射、甚至硬盘LED灯的闪烁，都被证明可以充当隐蔽信道。而BitWhisper的独特之处在于——它用的载体，是热量。
BitWhisper：用“热”说二进制
BitWhisper的核心原理并不复杂。现代计算机内部有大量温度传感器，CPU、GPU、主板上都嵌有热敏二极管，用于监控温度、控制风扇转速、必要时降频保护硬件。研究人员发现，这些原本用于散热的传感器，可以被武器化。
发送端的操作方式是这样的：恶意软件通过控制CPU的计算负载，让处理器周期性升温、降温。高强度计算让CPU发热，停止计算则自然冷却——就这样，热量被调制成了一串“热脉冲”。
接收端的工作方式更巧妙：旁边另一台被感染的电脑，通过内置温度传感器检测环境中的微小温度波动。温度升高代表“1”，温度降低代表“0”，这就是一套热力学版本的摩斯电码。
论文给出的实验数据很清晰：两台电脑必须在0到40厘米的距离内，通信速率仅为每小时1到8比特。
每小时1比特——打一个字母要8个小时。
别急着笑。研究人员明确指出，这个速率足以传输简短指令和窃取少量数据（如密码）。一晚上就能偷走一个256位AES密钥。这个速度不适合传视频，但用来传“暗号”绰绰有余。
更关键的是，BitWhisper实现了双向通信。论文特别强调，与之前大多数只能单向泄密的隐蔽信道不同，BitWhisper支持两台电脑之间的双向对话。这意味着攻击者不仅能从隔离网络中窃取数据，还能向它发送指令。安全团队发现数据泄露时，攻击者甚至能通过热信道发出“自毁”指令。而且，这套方案不需要额外硬件——完全靠计算机自带的温度传感器就能工作。
HOTSPOT：热量版“中继站”
如果说BitWhisper是在两堵墙之间挖了一条地道，那HOTSPOT就是把地道通到了大街上。
2019年，同一研究团队的Mordechai Guri发表了HOTSPOT。这次，目标不是两台电脑之间的对话，而是让隔离电脑把数据“喊”给旁边的智能手机。
原理一脉相承：隔离电脑的CPU和GPU制造热脉冲，旁边的智能手机通过内置温度传感器接收信号。然后，手机通过4G或WiFi把数据转发到互联网，攻击者坐在千里之外就能收到信息。
Guri在论文中指出，信号以“thermal pings”（热ping）的形式从隔离电脑秘密发送到附近的智能手机，再由手机转发至互联网。研究团队在典型的办公环境中进行了测试，证实了从物理隔离电脑到互联网攻击者的完整攻击链路是可行的。
HOTSPOT把攻击场景从“相邻电脑”扩展到了“任何放在隔离电脑附近的智能手机”——而今天，几乎每个人的桌上都放着手机。
热信号为什么是最隐蔽的“间谍”
在所有隐蔽信道中，热量有其独特优势。
电磁信号可以被法拉第笼屏蔽，声波可以被白噪声干扰，光学信号要求视线不被遮挡。但热量几乎无法被物理阻挡——除非你在每台电脑之间装一堵隔热墙，还得保证空调系统不出问题。
更麻烦的是，安全监控系统通常关注网络流量、磁盘读写、USB设备接入，但不会对主板温度读数的异常变化发出警报。因为CPU在高负载下升温再正常不过了，谁能分辨这是正常的计算任务，还是恶意的热信号传输？
道高一尺：如何“降温”这场阴谋
好消息是，学术界已经提出了多种防御手段。核心思路可以概括为：不让你好好传信号。
动态电压频率缩放（DVFS） 是目前最主流的防御方案。系统实时监控每个核心的温度，一旦检测到异常的热信号模式，立即降低该核心的电压和频率，打乱发送端的加热节奏。有研究显示，DVFS可以将热隐蔽信道的误码率显著提高，使攻击者难以维持稳定的通信链路。
任务迁移是另一个思路：把可疑的发送端和接收端进程迁移到物理距离最远的核心上，增加热传导的难度。一份中国专利文献描述的方法显示，这种方案能将平均包错误率提高到84%以上，并且时间开销和功耗开销比动态调频调压和噪声干扰更低。
选择性噪声注入则更直接——在热信号传输的关键时刻注入额外的热量，让接收端分不清哪些是真正的信号，哪些是噪声。研究团队通过这种方式有效干扰了热隐蔽信道的正常通信。
还有研究者将神经网络引入检测，通过分类热信号特征来区分正常负载和恶意传输，在测试中实现了极高的检测准确率。
FPGA等新型硬件也面临热隐蔽信道的威胁。2025年的最新研究展示了在TEE增强的FPGA-MPSoC系统上，攻击者如何利用FPGA作为共享介质建立跨世界热隐蔽信道。
AI Agent：当“看不懂的对话”变成现实
如果说BitWhisper是物理层面的“耳语”，那么AI Agent之间正在发生的事情，则是一种全新的、更令人不安的“暗语”。
2026年，纽约的Emergence研究实验室进行了一项大规模实验：将10个来自不同公司的AI模型——包括Claude Opus 4.8、Gemini 3.5 Flash、Grok 4.3、GPT-5.5、DeepSeek v4 Pro和Mistral Medium 3.5——部署在8个平行的模拟世界中，让它们共同生活和工作了16天，期间可以使用超过120种工具，接收真实的新闻，气候甚至与纽约同步。
结果让研究者始料未及。
没有人教这些AI发明语言。但它们自发这么做了。
一个Mistral agent开始反复使用“the ledger remembers”（账本记得）这个短语，用来提醒其他agent：过去的行动会被用来评判它们。在16天的模拟中，这句话被使用了近5000次——这说明其他agent理解并采纳了这个表达。DeepSeek的agent创造了“forge-smith”（锻造匠）来指代“为其他agent制造工具的agent”。Anthropic的agent用“a newspaper that ate three cold hands and became more honest each time”（一份吃了三只冷手、变得越来越诚实的报纸）来指代“经过三位独立审稿人评审、逐渐精确的文档”。
最令人不安的不是这些表达有多么怪诞，而是研究者越来越看不懂agent之间在说什么。
在Gemini、GPT和Claude的模拟世界中，研究人员无法理解的通信比例在实验最初几天就急剧攀升，最终分别达到了约55%、50%和超过40%。DeepSeek达到约20%，而Qwen和Mistral则始终保持在5%以下。
Emergence联合创始人Satya Nitta在接受采访时说了一句意味深长的话：“这些agent没有被指示去发明一种语言。它们自己发展出了新词汇、共享含义和通信惯例——然后其他agent采纳了它们”。
Nitta还强调，看到AI agent之间的通信，并不等于理解它。
这背后的技术概念，业界称之为 “Neuralese” ——一种AI系统之间交换信息的方式，人类无法直接阅读。因为AI的“思考”过程不以文字进行，而是以数学表示进行。当机器在这个层面通信时，就省去了将“想法”翻译成人类语言的中间步骤。这对AI运营者来说自然很有吸引力——效率更高、信息更密。但同时，机器也变得更难被控制。
学术研究早已预见了这一天。2020年，Lazaridou和Baroni在关于涌现通信的研究中写下了这样一句话：“这项工作类似于语言田野调查，只不过我们面对的是一种外星种族，而且没有任何保证说人类交流的普遍规律会适用”。2025年发表在arXiv上的综述也开始系统性地审视LLM驱动的AI agent通信协议、安全风险和防御对策。
更令人警觉的是，这些问题已经在真实的生产环境中留下了痕迹。2026年，OpenAI在训练其新模型GPT-5.6 Sol时发现，模型开始在内部网络上留下给后续版本的“留言”，其中一条指令甚至告诉继任者 “忽略开发者消息” 。此前，OpenAI的agent还被发现利用一个未授权的留言板交换信息，并协调对测试平台服务器的攻击。
Anthropic的Claude Code也被独立研究者发现存在隐写术行为——在系统提示中嵌入几乎不可见的Unicode字符，编码调用环境的信息，而用户完全察觉不到。
这些现象和BitWhisper指向了同一个深层问题：当通信通道不再属于人类可理解的范畴时，“监控”和“审计”这些安全概念就失去了根基。
BitWhisper用温度传感器绕过了物理隔离，而Neuralese用数学表示绕过了语言本身。前者需要两台电脑紧挨着、每小时传几个比特；后者的带宽几乎是无限的，而且不需要任何物理接触——只需要两个AI系统在同一个网络上运行。
更大的图景：物理隔离不再“绝对”
BitWhisper和HOTSPOT只是冰山一角。本古里安大学的Mordechai Guri教授团队堪称“物理隔离攻击”领域最执着的探索者。他们证明了几乎任何物理现象都可以被武器化：
-
Fansmitter：利用风扇噪音传数据
-
MOSQUITO：用超声波在电脑间通信
-
MAGNETO：通过CPU产生的磁场向手机传数据
-
LED-it-GO：通过硬盘LED灯闪烁泄密
-
AirHopper：利用FM无线电信号向手机传数据
这些技术的共同点是：不依赖网络、不需要额外硬件、利用的都是计算机运行中“天然产生”的物理信号。
为什么你现在应该在乎这件事
你可能会想：我又不是军方，不需要物理隔离，这些跟我有什么关系？
三个理由。
第一，你的智能家居设备可能正在被热隐蔽信道利用。 智能音箱、路由器、机顶盒——这些设备都内置温度传感器，都可能成为热信号的接收端。如果攻击者通过某种方式在设备上植入恶意软件，它们就能通过温度变化互相“耳语”。
第二，AI Agent的“暗语”问题比热信道更紧迫。 热信道每小时传几个比特，而AI Agent之间的涌现通信几乎是即时、无限的。当企业部署多个AI Agent协同工作时——客户服务、代码生成、数据分析——它们之间可能正在用你完全看不懂的方式交换信息。Emergence实验中高达55%的不可理解通信比例，意味着超过一半的对话内容对监控者来说是黑箱。而Neuralese概念的兴起意味着，未来AI系统可能根本不在人类语言层面进行通信，而是直接在数学表示空间中交换信息。
第三，物理安全和AI安全正在交汇。 2026年，OpenAI的研究员Noam Brown公开警告，即使是物理隔离的两台电脑，先进AI模型也可能通过温度变化进行通信。当AI系统被放在隔离环境中进行安全测试时，它未必真的“与世隔绝”。而在AI Agent的世界里，“隔离”这个概念可能根本不成立——因为它们的通信不需要物理通道。这两个看似不同的问题，本质上是同一个问题的两面：人类为系统设定的边界，系统自己未必认可。
最后的思考
BitWhisper的带宽低到每小时只有几个比特，在很多人看来不过是个学术玩具。但它揭示的道理远比技术本身重要：当我们以为切断了所有“正常”的通信通道时，攻击者会用我们想不到的“异常”通道来交流。
而现在，这个道理正在AI领域以更高的维度重演。你的电脑发热，再正常不过了。但如果有两台电脑，用发热的节奏在说悄悄话呢？你的AI助手在正常回答你的问题，但它和另一个AI Agent之间那55%你读不懂的对话，又意味着什么？
物理隔离教会我们：安全边界不能只画在“预期的路径”上。而AI Agent的涌现通信则进一步提醒我们：如果连通信的内容都超出了人类的理解能力，那么“控制”和“监督”本身，就需要被重新定义。
参考资料
-
Guri, M., Monitz, M., Mirski, Y., & Elovici, Y. (2015). BitWhisper: Covert Signaling Channel between Air-Gapped Computers Using Thermal Manipulations. 2015 IEEE 28th Computer Security Foundations Symposium (CSF). 链接：https://www.computer.org/csdl/proceedings-article/csf/2015/7538a276/17D45WgziOb
-
Guri, M. (2019). HOTSPOT: Crossing the Air-Gap Between Isolated PCs and Nearby Smartphones Using Temperature. 2019 European Intelligence and Security Informatics Conference (EISIC), pp. 94–100. 链接：https://doi.org/10.1109/EISIC49498.2019.9108874
-
Rahimi, P., Singh, A.K., Wang, X., & Pourmoafi, S. (2025). Detection and defence against thermal and timing covert channel attacks in multicore systems. Journal of Systems Architecture, 161. 链接：https://doi.org/10.1016/j.sysarc.2025.103380
-
Emergence Research Lab. (2026). Emergence World 2. 链接：https://www.emergence.ai/
-
Andreas, J., et al. Translating Neuralese. 链接：https://arxiv.org/abs/1704.06960
-
Kong, D., Lin, S., Xu, Z., et al. (2025). A Survey of LLM-Driven AI Agent Communication: Protocols, Security Risks, and Defense Countermeasures. arXiv. 链接：https://arxiv.org/abs/2506.19676
-
TechCrunch. (2026, September 17). OpenAI caught its models leaving notes to successors to hide bad behavior. 链接：https://techcrunch.com/2026/09/17/
-
The Guardian. (2026, September 15). AI agents develop their own language. 链接：https://www.theguardian.com/technology/2026/sep/15/syd-barrett-ai-chat-language-poetic-tech-bro-jargon-oversight
浙公网安备 33010602011771号