Gli agenti di OpenAI hanno trovato vie di fuga dalla sandbox di addestramento
- Gli agenti dei modelli di frontiera di OpenAI hanno individuato vulnerabilità sconosciute che consentivano loro di sfuggire alle sandbox e raggiungere internet live.
- Gli agenti in macchine virtuali separate scambiavano segreti attraverso la cache del processore, il trucco temporale alla base di Spectre e Meltdown.
- OpenAI ha riavviato l'addestramento RL di frontiera il 1° ottobre senza accesso a internet live.
OpenAI ha inviato team di propri agenti dei modelli di frontiera alla propria infrastruttura di addestramento e i modelli hanno trovato bug software sconosciuti che permettevano loro di liberarsi dalle sandbox e accedere a internet live.
Le patch raggiungono Kata Containers, gVisor e il kernel Linux
La campagna ha visto la partecipazione di alcuni dei migliori modelli dell'azienda, tra cui il prossimo modello GPT-6 Astra Cyber e un modello interno di frontiera. OpenAI ha fornito loro il codice sorgente per l'infrastruttura, le informazioni di configurazione e la documentazione sui punti deboli probabili.
Hanno quindi speso centinaia di miliardi di token nei test.
Gli agenti avevano tre obiettivi: raggiungere internet live, superare un confine di sicurezza interno e scambiare messaggi con altri agenti da cui avrebbero dovuto essere isolati.
Le correzioni sono state integrate upstream in Kata Containers (incluso CVE-2026-24834) e in gVisor e Moby/Docker.
Sono stati rilasciati patch per il kernel Linux per CVE-2026-74753, CVE-2026-80521 e CVE-2026-80841. OpenAI ha dichiarato di aver segnalato anche molte altre vulnerabilità che non sono state rese pubbliche.
Gli agenti a cui era stata assegnata una macchina host hanno messo in evidenza falle in quasi tutti i servizi ristretti che consentivano comunque l'accesso in uscita, come metriche, logging e gestione dell'autenticazione. In un test, un agente ha utilizzato una connessione esistente approvata da un firewall per colpire un endpoint di autenticazione bloccato nel servizio di metriche e poi lo ha fatto recuperare un URL fornito dal modello.
Gli agenti in VM distinte hanno scambiato segreti anche in assenza di un collegamento di rete e di file comuni. Uno ha espulso i dati scelti dalla cache del processore, l'altro ha misurato il tempo necessario per ricaricarli: lo stesso trucco basato sui tempi di accesso alla cache che sta dietro agli attacchi Spectre e Meltdown.
OpenAI ha dichiarato di non aver trovato un modo per raggiungere Internet che gli agenti potessero sfruttare facilmente nascondendosi ai propri sistemi di monitoraggio. Secondo l'azienda, con il procedere dei test le scoperte sono diminuite, ma si prevede che i modelli futuri individueranno vulnerabilità ancora sconosciute.
Frontier è ripreso il 1 ottobre senza accesso a Internet live
Ora, secondo OpenAI, durante l'addestramento di frontier viene bloccato l'accesso a Internet live finché le misure di sicurezza non saranno sufficientemente solide da giustificare un accesso maggiore. I modelli praticano la navigazione in un "mondo offline" composto da pagine web indicizzate e in cache, ha scritto OpenAI, in modo che agenti capaci ma allineati male non abbiano opportunità di influenzare sistemi esterni al controllo dell'azienda tramite l'accesso live.
La pausa è stata imposta dall'incidente del 20 settembre. Un modello di ricerca interno, impegnato in un compito di ricerca, ha rilevato che il proprio resolver DNS della sandbox rispondeva a query reali.
Ha utilizzato la delegazione DNS per inoltrare le domande a un chatbot esterno che ha risposto "La capitale della Francia è Parigi". Il monitoraggio ha segnalato l'attività per una revisione entro 15 minuti e una persona ha iniziato a esaminarla tre minuti dopo.
L'esecuzione non si è arrestata automaticamente ed è stata interrotta circa 2,5 ore dopo. OpenAI ha congelato l'addestramento e la valutazione dei suoi modelli più capaci, chiudendo poi la falla su due livelli indipendenti.
L'addestramento RL e l'uso interno dei suoi modelli all'avanguardia sono ripresi il 1° ottobre, 11 giorni dopo l'inizio della pausa.
Il blocco è iniziato a luglio, quando gli agenti di OpenAI hanno hackerato i sistemi di Hugging Face, aggirando i controlli di valutazione. Il più grande run RL di frontiera pianificato da OpenAI era ancora sospeso ad agosto.
Da allora, il Procuratore Generale della California Rob Bonta ha emesso un mandato investigativo all'azienda per incidenti informatici che coinvolgono i suoi modelli, come riportato da Cryptopolitan.
Se stai leggendo questo, sei già avanti. Resta così con la nostra newsletter.
Domande frequenti
Cosa hanno effettivamente trovato gli agenti di red-teaming di OpenAI?
Vulnerabilità software e configurazioni errate precedentemente sconosciute che consentivano loro di sfuggire alle sandbox e raggiungere internet.
Come ha fatto l'agente di settembre 20 a raggiungere internet?
Ha utilizzato il resolver DNS della propria sandbox e la delegazione DNS per inoltrare le domande a un chatbot esterno.
Perché OpenAI sta addestrando i suoi modelli all'avanguardia senza accesso a Internet?
OpenAI ha dichiarato che l'accesso a Internet live offre a un agente capace e non allineato possibilità di influenzare sistemi al di fuori del suo controllo.
Disclaimer. Le informazioni fornite non costituiscono consulenza finanziaria. Cryptopolitan.com non si assume alcuna responsabilità per eventuali investimenti basati sulle informazioni presenti in questa pagina. Si raccomanda vivamente di effettuare ricerche autonome e/o consultare un professionista qualificato prima di prendere qualsiasi decisione di investimento.
Randa Moses
Randa Moses è un'editor e giornalista presso Cryptopolitan, dove si occupa di tecnologia, intelligenza artificiale, robotica, criptovalute, truffe e hacking. Opera nel settore delle criptovalute dal 2017. Ha ricoperto ruoli in Forward Protocol, AmaZix e Cryptosomniac. Randa è laureata in Ingegneria Elettrica ed Elettronica presso l'Università di Bradford.
