一句话定义：缓存隐蔽信道（Cache Covert Channel）是指两个本不该通信的程序——比如跑在同一台物理机上的两个智能体——不借助网络、文件和系统调用，只靠争抢和观测共享 CPU 缓存的状态，用“缓存命中与否”的时序差异把比特一位一位传出去。
原理：把缓存当成敲水管
关在不同牢房的囚犯隔着墙敲水管传摩斯码，是隐蔽信道的经典比喻。放到 CPU 上，这根“水管”就是多核共享的末级缓存（Last-Level Cache，LLC）：核 A 和核 B 都能访问同一片缓存，也都能大致感知某块数据“在不在缓存里”。
一次缓存命中只要几十纳秒，未命中要去内存拿，慢上一到两个数量级。这个时间差就是信道。
发送方（Sender）用两种手法之一来“敲水管”：
- Flush+Reload：双方共享同一份物理内存页（共享库、同一份只读数据）。发送方想发 1，就把某地址从缓存里踢出去；想发 0，就访问一下把它留在缓存里。接收方反复计时“访问这个地址要多久”，快=1，慢=0。
- Prime+Probe：双方连共享内存都没有。发送方先用自己的数据把某一组缓存塞满（Prime），接收方随后探测自己那片映射到同一组的地址——如果变慢了，说明对方刚动过。它靠的是缓存组的地址映射冲突，不需要共享页面。
按固定节拍重复，一条每秒几十到几千比特的低速信道就建立起来了。带宽很低，但传个“密钥片段”“任务指令”“模型是否命中某个样本”足够了。
和相邻概念的区别
| 概念 | 谁在控制 | 典型目的 |
|---|---|---|
| 侧信道（Side Channel） | 受害者无意泄露 | 攻击者被动推测秘密 |
| 隐蔽信道（Covert Channel） | 双方合谋主动编码 | 绕过隔离策略传消息 |
| 缓存隐蔽信道 | 合谋 + 共享缓存硬件 | 跨隔离域低带宽通信 |
要注意它不是“网络隐蔽信道”（把数据藏在 DNS、ICMP 里），后者仍要走网卡；也不是“隐写”（把信息藏进图片）。缓存隐蔽信道从头到尾没有数据包。
为什么出网监控抓不到
因为它的“流量”根本没经过网络协议栈。出口防火墙、流量镜像、DLP、DNS 日志看到的都是干净的空闲进程。它也几乎不产生可疑系统调用，不写磁盘文件，只在缓存里留下时序上的痕迹——而这些痕迹混在正常程序真实的缓存抖动里，靠日志规则基本无从分辨。判断依据只在硬件性能计数器（Performance Monitoring Counter）的纳秒级波动中。
可行的检测与隔离
- 性能计数器监测：盯住 LLC 未命中率、缓存填充异常、某进程周期性唤醒等特征，找“规律节拍”。
- 调度隔离：把敏感负载绑核独占（CPU pinning）、不与不可信租户共享物理核，必要时关闭超线程（SMT），因为同一物理核的两个线程共享 L1/L2，信道最直接。
- 缓存与页着色（Cache/Page Coloring）：让不同租户的地址映射到不同的缓存组，切断 Prime+Probe 的冲突路径。
- 加噪声、限精度：向计时器加抖动、限制高精度时钟，抬高接收方判读成本。
- 架构层面：机密计算（Confidential Computing）能隔离内存明文，但共享缓存仍在，缓存类信道需要在部署方案里单独评估。
对从业者的意义
多租户云、共享推理集群、同一台机器上跑多个智能体，缓存都是被共享的物理资源。设计“隔离”方案时，网络隔离只是外围，真正的隔离要从调度和缓存开始算。具体产品与平台支持哪些缓解选项，以官方页面为准。