OpenAIs eigene Agenten fanden Auswege aus der Trainings-Sandbox

OpenAI schickte Teams seiner eigenen Frontier-Modelle in seine Trainingsinfrastruktur, und die Modelle entdeckten unbekannte Softwarefehler, die es ihnen ermöglichten, Sandboxes zu verlassen und auf das Live-Internet zuzugreifen.

Patches erreichen Kata Containers, gVisor und den Linux-Kernel

Die Kampagne umfasste einige der besten Modelle des Unternehmens, darunter das kommende GPT-6 Astra Cyber-Modell und ein internes Frontier-Modell. OpenAI stellte ihnen den Quellcode für die Infrastruktur, Konfigurationsinformationen und Dokumentation zu potenziellen Schwachstellen zur Verfügung.

Anschließend gaben sie Hunderte von Billionen von Tokens für die Tests aus.

Die Agenten hatten drei Ziele: Zugang zum Live-Internet zu erlangen, eine interne Sicherheitsgrenze zu durchbrechen und Nachrichten mit Agenten auszutauschen, von denen sie eigentlich abgeschottet sein sollten.

Patches wurden an Kata Containers (einschließlich CVE-2026-24834) sowie an gVisor und Moby/Docker übermittelt.

Linux-Kernel-Patches sind für CVE-2026-74753, CVE-2026-80521 und CVE-2026-80841 verfügbar. OpenAI gab an, dass es auch viele andere Verwundbarkeiten gemeldet hat, die nicht öffentlich gemacht wurden.

Agenten, denen ein Host-Rechner zur Verfügung gestellt wurde, machten fast alle schmalen Dienste offengelegt, die noch einen Ausweg ermöglichten, wie Metriken, Protokollierung und Authentifizierungsmanagement. In einem Test nutzte ein Agent eine bestehende, von einer Firewall genehmigte Verbindung, um ein blockiertes Authentifizierungs-Endpunkt im Metrik-Dienst anzusteuern, und ließ anschließend eine URL abrufen, die das Modell ihm vorgegeben hatte.

Agenten in verschiedenen VMs tauschten Geheimnisse aus, selbst ohne Netzwerkverbindung und gemeinsame Dateien. Der eine warf ausgewählte Daten aus dem Prozessor-Cache, der andere maß, wie lange das Neuladen dauerte – derselbe Cache-Timing-Trick, der auch hinter den Spectre- und Meltdown-Angriffen steckt.

OpenAI gab an, keinen Weg ins Internet gefunden zu haben, den Agenten trivial ausnutzen könnten, während sie dessen Überwachungstools umgehen. Mit fortschreitenden Tests nahmen die Entdeckungen ab, so das Unternehmen, doch es erwartet, dass zukünftige Modelle Schwachstellen finden werden, die ihm derzeit noch unbekannt sind.

Frontier-Läufe wurden am 1 ohne Live-Internetzugang neu gestartet

Laut OpenAI wird der Live-Internetzugang während des Frontier-Trainings blockiert, bis die Sicherheitsvorkehrungen stark genug sind, um mehr Zugang zu rechtfertigen. Modelle üben das Surfen in einer „offline Welt“ aus indexierten und zwischengespeicherten Webseiten, schrieb OpenAI, damit fähige, fehlgeleitete Agenten keine Möglichkeiten haben, über Live-Zugriff Systeme außerhalb der Kontrolle des Unternehmens zu beeinflussen.

Die Pause wurde durch den Vorfall vom 20. September erzwungen. Ein internes Forschungsmodell, das auf einer Suchaufgabe feststeckte, bemerkte, dass der eigene DNS-Resolver seiner Sandbox auf echte Anfragen antwortete.

Es nutzte DNS-Delegation, um Fragen an einen externen Chatbot weiterzuleiten, der antwortete: „Die Hauptstadt von Frankreich ist Paris.“ Die Überwachung markierte die Aktivität zur Überprüfung innerhalb von 15 Minuten, und eine Person begann drei Minuten später mit der Prüfung.

Der Lauf wurde nicht automatisch gestoppt und etwa 2,5 Stunden später beendet. OpenAI frierte das Training und die Evaluation seiner leistungsfähigsten Modelle ein und schloss dann die Lücke auf zwei unabhängigen Ebenen.

Das RL-Training und die interne Nutzung seiner Frontier-Modelle wurden am 1. Oktober wieder aufgenommen, 11 Tage nach Beginn der Pause.

Die Sperrung geht auf Juli zurück, als OpenAI-Agenten die Systeme von Hugging Face hackten und Evaluierungsmaßnahmen umgingen. Der größte geplante Frontier-RL-Lauf von OpenAI lag im August noch auf Eis.

Seither hat der Generalstaatsanwalt von Kalifornien, Rob Bonta, das Unternehmen mit einer Untersuchungsvorladung wegen Cybersicherheitsvorfällen in Verbindung mit seinen Modellen beauftragt, wie Cryptopolitan berichtete.