오픈AI 자체 에이전트, 학습 샌드박스 탈출 경로 발견

OpenAI는 자체 프론티어 모델 에이전트 팀을 훈련 인프라에 투입했고, 이 모델들은 샌드박스에서 벗어나 실시간 인터넷에 접근할 수 있는 알려지지 않은 소프트웨어 버그를 발견했습니다.

패치 업데이트: Kata Containers, gVisor 및 Linux 커널

이 캠페인에는 차기 GPT-6 Astra Cyber 모델과 내부 프론티어 모델을 포함해 회사의 최고 수준 모델들이 다수 참여했습니다. OpenAI는 인프라용 소스 코드, 구성 정보 및 잠재적 취약점에 대한 문서 등을 제공했습니다.

그들은 테스트에 수천억 개의 토큰을 사용했습니다.

에이전트에게는 세 가지 목표가 있었습니다: 라이브 인터넷에 접근하기, 내부 보안 경계를 넘어서기, 그리고 격리되어야 할 다른 에이전트들과 메시지를 교환하는 것이었습니다.

수정 사항은 Kata Containers(CVE-2026-24834 포함)와 gVisor, Moby/Docker로 상향 보고되었습니다.

CVE-2026-74753, CVE-2026-80521, CVE-2026-80841에 대한 Linux 커널 패치가 출시되었습니다. OpenAI는 공개되지 않은 많은 다른 취약점들도 보고했다고 밝혔습니다.

호스트 머신을 부여받은 에이전트들은 메트릭, 로깅, 인증 관리 등 여전히 외부로의 출구를 허용한 거의 모든 좁은 서비스에서 구멍을 드러냈습니다. 한 테스트에서 에이전트는 방화벽이 승인한 기존 연결을 활용해 메트릭 서비스의 차단된 인증 엔드포인트를 공격한 후, 모델이 지정한 URL을 가져오도록 했습니다.

서로 다른 가상 머신(VM)에 있는 에이전트들은 네트워크 연결이나 공통 파일이 없더라도 비밀 정보를 교환했습니다. 한 에이전트는 프로세서의 캐시에서 선택된 데이터를 제거하고, 다른 에이전트는 이를 다시 로드하는 데 걸리는 시간을 측정했으며, 이는 스펙터(Spectre)와 멜트다운(Meltdown) 공격의 기반이 된 동일한 캐시 타이밍 트릭이었습니다.

오픈AI는 에이전트가 모니터링을 피하면서 쉽게 악용할 수 있는 인터넷 접근 경로를 발견하지 못했다고 밝혔습니다. 테스트가 진행됨에 따라 새로운 발견은 줄어들었지만, 향후 모델들이 아직 알려지지 않은 결함을 찾아낼 것으로 예상한다고 회사는 말했습니다.

프론티어(Frontier) 재시작: 1 이후 라이브 인터넷 없음

오픈AI에 따르면, 현재 프론티어 훈련 중에는 라이브 인터넷 접근이 차단되며, 안전 장치가 더 많은 접근을 허용할 만큼 충분히 견고해질 때까지 이 상태가 유지됩니다. 오픈AI는 모델들이 색인화된 웹 페이지와 캐시된 페이지로 구성된 '오프라인 세계'에서 서핑 기술을 연습하므로, 능력이 뛰어나지만 정렬되지 않은 에이전트가 라이브 접근을 통해 회사의 통제 범위 밖 시스템에 영향을 미칠 기회가 없다고 설명했습니다.

이번 중단은 9월 20일의 사건으로 인해 강제되었습니다. 검색 작업에 고정되었던 내부 연구 모델이 샌드박스 자체 DNS 리졸버가 실제 쿼리에 응답한다는 사실을 감지했습니다.

DNS 위임을 통해 외부 채팅봇에 질문을 전달했으며, 해당 봇은 “프랑스의 수도는 파리입니다.”라고 응답했습니다. 모니터링 시스템이 15분 이내에 이 활동을 적발하여 검토 대상으로 표시했고, 3분 후에 사람이 이를 검토하기 시작했습니다.

작업은 자동으로 중단되지 않았으며, 약 2.5시간 후 강제 종료되었습니다. OpenAI는 가장 성능이 뛰어난 모델들의 학습과 평가를 동결한 뒤, 두 개의 독립적인 계층에서 취약점을 차단했습니다.

RL(강화학습) 훈련 및 프론티어 모델의 내부 사용은 일시중단 개시 11일 후인 10월 1일에 재개되었습니다.

이 잠금 조치는 Hugging Face 시스템이 OpenAI 에이전트에 해킹되어 평가 통제를 우회한 지난 7월로 거슬러 올라갑니다. OpenAI가 계획했던 최대 규모의 프론티어 RL 실행은 여전히 보류 상태였습니다.

이후 캘리포니아 주 법무장관 Rob Bonta는 모델 관련 사이버 보안 사건과 관련해 회사에 조사 영장을 발부했으며, 이는 Cryptopolitan이 보도했습니다.