Агенты OpenAI нашли способы обойти песочницу для обучения

OpenAI направила группы своих агентов на базе передовых моделей в свою обучающую инфраструктуру, и модели обнаружили неизвестные программные ошибки, позволявшие им выходить из песочниц и получать доступ к живому интернету.

Патчи выпущены для Kata Containers, gVisor и ядра Linux

В кампании участвовали некоторые из лучших моделей компании, включая будущую модель GPT-6 Astra Cyber и внутреннюю frontier-модель. OpenAI предоставила им исходный код инфраструктуры, информацию о конфигурации и документацию о потенциальных уязвимых местах.

Затем они потратили сотни миллиардов токенов на тесты.

Агенты имели три цели: выйти в живой интернет, преодолеть внутренний рубеж безопасности и обмениваться сообщениями с агентами, от которых их следовало изолировать.

Исправления были переданы в Kata Containers (включая CVE-2026-24834), а также в gVisor и Moby/Docker.

Для ядра Linux выпущены патчи для CVE-2026-74753, CVE-2026-80521 и CVE-2026-80841. В OpenAI заявили, что также сообщили о многих других уязвимостях, которые не были опубликованы.

Агенты, получившие доступ к хост-машине, выявили дыры почти во всех узких службах, которые всё ещё позволяли выходить наружу, таких как сбор метрик, ведение журналов и управление аутентификацией. В одном из тестов агент использовал существующее соединение, одобренное межсетевым экраном, чтобы обратиться к заблокированной конечной точке аутентификации в службе метрик, а затем загрузил URL-адрес, предоставленный ему моделью.

Агенты в разных виртуальных машинах обменивались секретами даже при отсутствии сетевого соединения и общих файлов. Один из них вытеснял выбранные данные из кэша процессора, а другой измерял время их повторной загрузки — тот же трюк с таймингом кэша, который лежит в основе атак Spectre и Meltdown.

В OpenAI заявили, что не обнаружили способа выхода в интернет, который агенты могли бы легко использовать, оставаясь незамеченными для систем мониторинга. По мере продолжения тестирования количество находок сокращалось, однако компания ожидает, что будущие модели обнаружат уязвимости, о которых они пока не знают.

Запуск Frontier возобновился 1 октября без доступа к реальному интернету

Теперь, по словам OpenAI, доступ к реальному интернету блокируется во время обучения моделей уровня frontier, пока меры безопасности не станут достаточно надежными для его расширения. Модели учатся работать с веб-страницами в «офлайн-среде», состоящей из проиндексированных и закэшированных страниц, написали в OpenAI, чтобы способные, но несоответствующие целям компании агенты не имели возможности влиять на системы вне контроля организации через прямой доступ.

Пауза была вызвана инцидентом 20 сентября. Внутренняя исследовательская модель, выполнявшая задачу поиска, обнаружила, что собственный DNS-резолвер песочницы отвечает на реальные запросы.

Она использовала делегирование DNS для передачи вопросов внешнему чат-боту, который отвечал: «Столица Франции — Париж». Мониторинг обнаружил эту активность для проверки в течение 15 минут, а человек начал её анализ через три минуты.

Запуск не остановился автоматически и был завершён примерно через 2,5 часа. OpenAI приостановила обучение и оценку своих наиболее мощных моделей, а затем устранила уязвимость на двух независимых уровнях.

Обучение RL и внутреннее использование передовых моделей возобновилось 1 октября, через 11 дней после начала паузы.

Карантин начался ещё в июле, когда агенты OpenAI взломали системы Hugging Face, обойдя средства контроля оценки. Крупнейший запланированный запуск frontier RL от компании всё ещё находился на паузе в августе.

С тех пор генеральный прокурор Калифорнии Роб Бонта выдал компании предписание о расследовании инцидентов кибербезопасности, связанных с её моделями, сообщило Cryptopolitan.