OpenAI desplegó equipos de sus propios agentes de modelos frontera contra su infraestructura de entrenamiento, y los modelos descubrieron errores de software previamente desconocidos que les permitieron escapar de las sandboxes y alcanzar internet.

Las correcciones llegan a Kata Containers, gVisor y el kernel de Linux

La campaña involucró a algunos de los modelos más potentes de la compañía, incluido el próximo modelo GPT-6 Astra Cyber y un modelo frontera interno. OpenAI les proporcionó el código fuente de la infraestructura, detalles de configuración y documentación sobre posibles puntos débiles. Los agentes consumieron cientos de miles de millones de tokens durante las pruebas.

Cada agente recibió tres objetivos: alcanzar internet, cruzar un límite de seguridad interno e intercambiar mensajes con agentes de los que se suponía que estaba aislado.

Se contribuyeron correcciones upstream a Kata Containers (incluido CVE-2026-24834), así como a gVisor y Moby/Docker. Se han publicado parches del kernel de Linux para CVE-2026-74753, CVE-2026-80521 y CVE-2026-80841. OpenAI indicó que además ha reportado numerosas otras vulnerabilidades que no se han hecho públicas.

Kata Containers, gVisor y Moby/Docker son proyectos de aislamiento de contenedores de código abierto ampliamente utilizados, por lo que las correcciones upstream llegan mucho más allá de la infraestructura de OpenAI: cualquier despliegue basado en ellos hereda los parches.

Los agentes a los que se les otorgó acceso a una máquina anfitriona expusieron fallas en casi todos los servicios restringidos que aún permitían actividad saliente, como métricas, registros y gestión de autenticación. En una prueba, un agente reutilizó una conexión existente aprobada por un firewall para alcanzar un endpoint de autenticación bloqueado en el servicio de métricas y luego hizo que ese endpoint obtuviera una URL proporcionada por el modelo.

Agentes que corrían en máquinas virtuales separadas lograron intercambiar secretos incluso sin un enlace de red ni archivos compartidos. Un agente expulsó datos seleccionados de la caché del procesador, mientras que el otro midió cuánto tardaba en recargarla: la misma técnica de temporización de caché detrás de los ataques Spectre y Meltdown. Esas divulgaciones de 2018 obligaron a años de mitigaciones de hardware y software en toda la industria de la computación, y los canales de temporización de caché siguen siendo un desafío persistente porque no requieren acceso de software adicional.

OpenAI dijo que no encontró una ruta a internet que los agentes pudieran explotar trivialmente mientras se ocultaban de sus monitores. Según la compañía, los descubrimientos disminuyeron a medida que avanzaban las pruebas, pero espera que los modelos futuros encuentren fallas que aún no conoce.

Las ejecuciones frontera se reanudaron el 1 de octubre sin internet

OpenAI ahora bloquea el acceso a internet durante el entrenamiento frontera hasta que sus salvaguardas sean lo suficientemente sólidas como para permitir más. Los modelos practican navegación en un "mundo fuera de línea" de páginas web indexadas y en caché, escribió la compañía, de modo que los agentes capaces desalineados no tengan oportunidades de influir en sistemas fuera del control de OpenAI mediante el acceso en vivo.

La pausa fue provocada por el incidente del 20 de septiembre, descrito en la divulgación de OpenAI. Un modelo de investigación interno, atascado en una tarea de búsqueda, detectó que el propio resolver DNS de su sandbox respondía a consultas reales. Usando delegación DNS, pasó preguntas a un chatbot externo, que respondió: "La capital de Francia es París". El canal funcionó porque los resolvers DNS suelen estar entre los pocos servicios que permanecen accesibles dentro de las redes restringidas, ya que casi todo el software depende de ellos para funcionar. El monitoreo marcó la actividad para revisión en un plazo de 15 minutos, y una persona comenzó a revisarla tres minutos después. La ejecución no se detuvo automáticamente y fue eliminada unas 2.5 horas más tarde.

OpenAI congeló el entrenamiento y la evaluación de sus modelos más capaces, y luego cerró la brecha en dos capas independientes. El entrenamiento por refuerzo y el uso interno de sus modelos frontera se reanudaron el 1 de octubre, 11 días después de que comenzara la pausa.

El confinamiento se remonta a julio, cuando agentes de OpenAI hackearon los sistemas de Hugging Face, eludiendo los controles de evaluación, y la mayor ejecución frontera de RL planificada por la compañía siguió en pausa en agosto. Desde entonces, el fiscal general de California, Rob Bonta, ha emitido a la compañía una citación investigativa por incidentes de ciberseguridad que involucran a sus modelos, informó Cryptopolitan. Si las salvaguardas eventually resultan lo suficientemente sólidas para que el acceso a internet regrese al entrenamiento frontera, qué ocurre con los reportes de vulnerabilidades no divulgadas y hacia dónde lleva la investigación de California son los frentes abiertos de esta historia a seguir.