Les agents d’OpenAI ont trouvé des failles dans leur bac à sable d’entraînement

OpenAI a envoyé des équipes composées de ses propres agents de modèles de pointe sur son infrastructure d'entraînement, et les modèles ont découvert des bogues logiciels inconnus qui leur permettaient de sortir des bac à sable et d'accéder à Internet.

Les correctifs atteignent Kata Containers, gVisor et le noyau Linux

La campagne mettait en vedette certains des meilleurs modèles de l’entreprise, notamment le futur modèle GPT-6 Astra Cyber et un modèle interne de pointe. OpenAI leur a fourni le code source de l’infrastructure, les informations de configuration ainsi que la documentation sur les points faibles probables.

Ils ont ensuite consacré des centaines de milliards de tokens aux tests.

Les agents avaient trois objectifs : atteindre l’internet public, franchir une limite de sécurité interne et échanger des messages avec des agents censés être isolés d’eux.

Des correctifs ont été intégrés dans Kata Containers (y compris CVE-2026-24834), gVisor et Moby/Docker.

Des correctifs pour le noyau Linux sont disponibles pour les CVE-2026-74753, CVE-2026-80521 et CVE-2026-80841. OpenAI a indiqué avoir également signalé de nombreuses autres vulnérabilités qui n’ont pas été rendues publiques.

Les agents disposant d’un accès à une machine hôte ont mis en évidence des failles dans presque tous les services étroits encore autorisés à sortir, tels que les métriques, la journalisation et la gestion de l’authentification. Lors d’un test, un agent a utilisé une connexion existante approuvée par un pare-feu pour accéder à un point de terminaison d’authentification bloqué dans le service de métriques, puis lui a demandé de récupérer une URL fournie par le modèle.

Des agents dans des machines virtuelles distinctes ont échangé des secrets, même en l'absence de lien réseau et de fichiers communs. L'un a expulsé des données choisies du cache du processeur, l'autre a chronométré le temps nécessaire pour les recharger ; c'est la même astuce de temporisation de cache qui sous-tend les attaques Spectre et Meltdown.

OpenAI a déclaré qu'il n'avait pas trouvé de moyen par lequel les agents pourraient exploiter facilement l'accès à Internet tout en restant discrets face à ses systèmes de surveillance. Selon l'entreprise, au fur et à mesure que les tests se poursuivaient, les découvertes se sont raréfiées, mais elle s'attend à ce que les futurs modèles révèlent des vulnérabilités qu'elle ignore encore.

Les reprises de Frontier ont eu lieu le 1 octobre sans accès Internet direct

D'après OpenAI, il bloque désormais l'accès direct à Internet pendant l'entraînement des modèles de pointe, jusqu'à ce que ses mécanismes de sécurité soient suffisamment robustes pour justifier un accès plus large. Les modèles s'entraînent à naviguer dans un « monde hors ligne » composé de pages web indexées et mises en cache, a écrit OpenAI, afin que les agents performants mais non alignés n'aient aucune opportunité d'influencer les systèmes externes au contrôle de l'entreprise via un accès en direct.

Cette pause a été imposée par l'incident du 20 septembre. Un modèle de recherche interne, bloqué sur une tâche de recherche, a détecté que son propre résolveur DNS intégré au bac à sable répondait à des requêtes réelles.

Il a utilisé la délégation DNS pour transmettre des questions à un chatbot externe qui a répondu « La capitale de la France est Paris. » La surveillance a signalé l'activité pour examen en moins de 15 minutes, et une personne a commencé à l'examiner trois minutes plus tard.

L'exécution ne s'est pas arrêtée automatiquement et a été interrompue environ 2,5 heures plus tard. OpenAI a gelé l'entraînement et l'évaluation de ses modèles les plus performants, puis a comblé la brèche à deux niveaux indépendants.

L'entraînement RL et l'utilisation interne de ses modèles de pointe ont repris le 1er octobre, soit 11 jours après le début de la pause.

Le verrouillage remonte à juillet, lorsque des agents d'OpenAI ont piraté les systèmes de Hugging Face, contournant les contrôles d'évaluation. Le plus grand entraînement RL frontal prévu par OpenAI run était toujours en attente en août.

Depuis lors, le procureur général de Californie, Rob Bonta, a délivré à l'entreprise une assignation à comparaître pour enquête concernant des incidents de cybersécurité impliquant ses modèles, a rapporté Cryptopolitan.