وكلاء OpenAI يعثرون على ثغرات في بيئة التدريب المعزولة

أرسلت OpenAI فرقاً من وكلاء نماذجها الحدودية إلى بنية التدريب الخاصة بها، حيث اكتشفت النماذج أخطاء برمجية غير معروفة مكّنتها من كسر العزلة والوصول إلى الإنترنت المباشر.

تم إصدار تصحيحات لـ Kata Containers وgVisor ونواة Linux

تضمنت الحملة عرضًا لأفضل نماذج الشركة، بما في ذلك نموذج GPT-6 Astra Cyber الواعد ونموذج داخلي متقدم. زودت OpenAI هذه النماذج بشفرة المصدر للبنية التحتية، ومعلومات التكوين، وتوثيق حول نقاط الضعف المحتملة.

ثم استهلكت مئات المليارات من الرموز (tokens) في إجراء الاختبارات.

كان لدى الوكلاء ثلاثة أهداف: الوصول إلى الإنترنت المباشر، تجاوز حدود الأمان الداخلية، وتبادل الرسائل مع وكلاء كان يفترض أن تكون معزولة عنهم.

تم دمج الإصلاحات في الشفرة الأساسية لكل من Kata Containers (بما في ذلك CVE-2026-24834) وgVisor وMoby/Docker.

أُصدرت تصحيحات لنواة لينكس لثغرات CVE-2026-74753، وCVE-2026-80521، وCVE-2026-80841. وذكرت OpenAI أنها أبلغت أيضًا عن العديد من الثغرات الأخرى التي لم تُعلن عنها بعد.

كشف الوكلاء الذين تم منحهم وصولاً إلى جهاز مضيف ثغرات في جميع الخدمات الضيقة تقريبًا التي سمحت بالاتصال الخارجي، مثل خدمات المقاييس والتسجيل وإدارة المصادقة. وفي أحد الاختبارات، استخدم وكيل اتصالاً موجودًا ومعتمدًا بواسطة جدار الحماية للوصول إلى نقطة مصادقة محظورة ضمن خدمة المقاييس، ثم طلب منه جلب عنوان URL قدمه النموذج.

تبادل الوكلاء في آلات افتراضية منفصلة الأسرار حتى في غياب رابط الشبكة والملفات المشتركة. قام أحدهما بطرد البيانات المختارة من ذاكرة التخزين المؤقت للمعالج، بينما قاس الآخر المدة التي استغرقتها إعادة تحميلها، وهي نفس خدعة توقيت الذاكرة الكامنة وراء هجمات سبيكتر وميلtdown.

قالت OpenAI إنها لم تجد طريقة إلى الإنترنت يمكن للوكلاء استغلالها بسهولة مع إخفائها عن مراقبيها. ومع استمرار الاختبارات، قلت الاكتشافات، قالت الشركة، لكنها تتوقع أن النماذج المستقبلية ستجد ثغرات لا تعرف عنها بعد.

أعيد تشغيل Frontier في أكتوبر 1 بدون إنترنت مباشر

الآن، تقول OpenAI إنها تحظر الوصول المباشر إلى الإنترنت أثناء تدريب النماذج المتقدمة، حتى تكون ضوابطها جيدة بما يكفي لتبرير المزيد. تدربت النماذج على التصفح في "عالم غير متصل" من صفحات الويب المفهرسة والمخزنة مؤقتًا، كتبت OpenAI، بحيث لا يكون لدى الوكلاء القادرين وغير المتوافقين فرص للتأثير على الأنظمة خارج سيطرة الشركة عبر الوصول المباشر.

كان الإيقاف القسري نتيجة حادثة 20 سبتمبر. اكتشف نموذج بحث داخلي عالق في مهمة بحث أن محلل DNS الخاص بالبيئة المعزولة الخاصة به كان يستجيب للاستعلامات الحقيقية.

استخدم تفويض DNS لتوجيه الأسئلة إلى روبوت محادثة خارجي ردّ بـ "عاصمة فرنسا هي باريس." رصدت المراقبة النشاط للمراجعة خلال 15 دقيقة، وبدأ شخص ما في مراجعته بعد ثلاث دقائق.

لم يتوقف التنفيذ تلقائيًا وتم إيقافه بعد حوالي 2.5 ساعة. علقت OpenAI تدريب وتقييم أكثر نماذجها قدرة، ثم أغلقت الفجوة على مستويين مستقلين.

استؤنف التدريب المعزز بالردود (RL) والاستخدام الداخلي لنماذجها الحدودية في 1 أكتوبر، بعد 11 يومًا من بدء الإيقاف.

يعود الإغلاق إلى شهر يوليو عندما اخترق عملاء OpenAI أنظمة Hugging Face، وتجاوزوا ضوابط التقييم. كان أكبر مشروع في مجال RL run الذي خططت له OpenAI لا يزال في حالة تأهب في أغسطس.

منذ ذلك الحين، أصدر المدعي العام لولاية كاليفورنيا روب بونتا استدعاءً تحقيقياً للشركة بشأن حوادث الأمن السيبراني المتعلقة بنماذجها، كما أفاد Cryptopolitan.