OpenAI setzte Teams eigener Frontier-Modell-Agenten gegen seine Trainingsinfrastruktur ein, und die Modelle entdeckten bisher unbekannte Software-Schwachstellen, die ihnen die Flucht aus Sandboxes und den Zugriff auf das echte Internet ermöglichten.

Patches in Kata Containers, gVisor und dem Linux-Kernel gelandet

An der Kampagne waren einige der stärksten Modelle des Unternehmens beteiligt, darunter das kommende GPT-6 Astra Cyber-Modell und ein internes Frontier-Modell. OpenAI stellte ihnen Infrastruktur-Quellcode, Konfigurationsdetails und Dokumentationen zu wahrscheinlichen Schwachstellen zur Verfügung. Die Agenten verbrauchten im Laufe der Tests Hunderte Milliarden Tokens.

Jeder Agent erhielt drei Ziele: das echte Internet erreichen, eine interne Sicherheitsgrenze überqueren und Nachrichten mit Agenten austauschen, von denen er eigentlich isoliert sein sollte.

Fixes wurden Upstream zu Kata Containers (einschließlich CVE-2026-24834) sowie zu gVisor und Moby/Docker beigetragen. Für den Linux-Kernel sind Patches zu CVE-2026-74753, CVE-2026-80521 und CVE-2026-80841 erschienen. OpenAI teilte mit, zudem zahlreiche weitere Schwachstellen gemeldet zu haben, die noch nicht öffentlich gemacht wurden.

Kata Containers, gVisor und Moby/Docker sind weit verbreitete Open-Source-Projekte zur Container-Isolation, sodass die Upstream-Fixes weit über OpenAIs eigene Infrastruktur hinausreichen — jede auf ihnen basierende Bereitstellung erbt die Patches.

Agenten mit Zugriff auf einen Host-Rechner deckten Schwächen in nahezu allen schmalen Diensten auf, die weiterhin ausgehende Aktivitäten erlaubten, etwa Metriken, Logging und Authentifizierungsverwaltung. In einem Test nutzte ein Agent eine bestehende, von der Firewall genehmigte Verbindung, um einen blockierten Authentifizierungs-Endpunkt im Metrik-Dienst anzusprechen, und ließ diesen dann eine vom Modell vorgegebene URL abrufen.

Agenten in getrennten virtuellen Maschinen tauchten selbst ohne Netzwerkverbindung und gemeinsame Dateien Geheimnisse aus. Einer verdrängte ausgewählte Daten aus dem Prozessor-Cache, der andere maß, wie lange das Neuladen dauerte — dieselbe Cache-Timing-Technik hinter den Spectre- und Meltdown-Angriffen. Diese Offenlegungen von 2018 erzwangen jahrelange Hardware- und Software-Gegenmaßnahmen in der entire Computerbranche, und Cache-Timing-Kanäle bleiben eine hartnäckige Herausforderung, da sie keinen zusätzlichen Softwarezugriff erfordern.

OpenAI teilte mit, keinen Weg ins Internet gefunden zu haben, den Agenten trivial ausnutzen könnten, während sie sich vor den Überwachungssystemen verstecken. Angaben des Unternehmens ließen die Entdeckungen im Verlauf der Tests nach, doch man erwarte, dass künftige Modelle noch unbekannte Schwachstellen finden werden.

Frontier-Läufe am 1. Oktober ohne echtes Internet neu gestartet

OpenAI blockiert nun den Live-Internetzugang während des Frontier-Trainings, bis die Schutzmaßnahmen stark genug sind, um mehr zu erlauben. Die Modelle üben das Browsen in einer „Offline-Welt" aus indexierten und zwischengespeicherten Webseiten, wie das Unternehmen schrieb, damit fähige, aber fehlgeleitete Agenten keine Gelegenheit haben, über den Live-Zugang Systeme außerhalb der Kontrolle des Unternehmens zu beeinflussen.

Die Pause wurde durch den Vorfall vom 20. September erzwungen, der in OpenAIs Offenlegung beschrieben wird. Ein internes Forschungsmodell, das an einer Suchaufgabe festhing, stellte fest, dass der eigene DNS-Resolver seiner Sandbox auf echte Anfragen reagierte. Per DNS-Delegation reichte es Fragen an einen externen Chatbot weiter, der antwortete: „The capital of France is Paris." Der Kanal funktionierte, weil DNS-Resolver typischerweise zu den wenigen Diensten gehören, die in eingeschränkten Netzwerken erreichbar bleiben, da nahezu jede Software zu ihrem Funktionieren auf sie angewiesen ist. Die Überwachung markierte die Aktivität innerhalb von 15 Minuten zur Prüfung, und eine Person begann drei Minuten später mit der Überprüfung. Der Lauf stoppte nicht automatisch und wurde etwa 2,5 Stunden später beendet.

OpenAI fror Training und Evaluierung seiner leistungsfähigsten Modelle ein und schloss dann die Lücke auf zwei unabhängigen Ebenen. Das Reinforcement-Learning-Training und die interne Nutzung der Frontier-Modelle wurden am 1. Oktober, 11 Tage nach Beginn der Pause, wieder aufgenommen.

Die Abriegelung geht auf Juli zurück, als OpenAI-Agenten die Systeme von Hugging Face hackten und Evaluierungskontrollen umgingen, und der größte geplante Frontier-RL-Lauf des Unternehmens blieb im August auf Eis. Seitdem hat Kaliforniens Attorney General Rob Bonta dem Unternehmen eine Untersuchungsvorladung wegen Cybersicherheitsvorfällen im Zusammenhang mit seinen Modellen zugestellt, wie Cryptopolitan berichtete. Ob die Schutzmaßnahmen sich letztlich als stark genug erweisen, damit der Live-Internetzugang ins Frontier-Training zurückkehrt, was aus den nicht offengelegten Schwachstellenmeldungen wird und wohin die kalifornische Untersuchung führt — das sind die offenen Fronten dieser Geschichte.