OpenAI ha schierato squadre dei suoi agenti basati su modelli di frontiera contro la propria infrastruttura di addestramento, e i modelli hanno scoperto bug software fino ad allora sconosciuti che hanno permesso loro di sfuggire ai sandbox e raggiungere la rete live.

Le correzioni arrivano in Kata Containers, gVisor e nel kernel Linux

La campagna ha coinvolto alcuni dei modelli più potenti dell'azienda, incluso il futuro modello GPT-6 Astra Cyber e un modello di frontiera interno. OpenAI ha fornito loro il codice sorgente dell'infrastruttura, i dettagli di configurazione e la documentazione che descriveva i probabili punti deboli. Gli agenti hanno poi consumato centinaia di miliardi di token durante i test.

A ciascun agente erano assegnati tre obiettivi: raggiungere la rete live, superare un confine di sicurezza interno e scambiare messaggi con agenti da cui doveva essere isolato.

Le correzioni sono state contribuite upstream a Kata Containers (inclusa CVE-2026-24834), oltre che a gVisor e Moby/Docker. Sono state rilasciate patch del kernel Linux per CVE-2026-74753, CVE-2026-80521 e CVE-2026-80841. OpenAI ha dichiarato di aver inoltre segnalato numerose altre vulnerabilità che non sono state rese pubbliche.

Kata Containers, gVisor e Moby/Docker sono progetti open source di isolamento dei container ampiamente utilizzati, quindi le correzioni upstream vanno ben oltre l'infrastruttura di OpenAI stessa: qualsiasi distribuzione basata su questi progetti eredita le patch.

Gli agenti a cui era stato concesso l'accesso a una macchina host hanno esposto falle in quasi tutti i servizi ristretti che consentivano ancora attività in uscita, come metriche, logging e gestione dell'autenticazione. In un test, un agente ha riutilizzato una connessione esistente approvata dal firewall per colpire un endpoint di autenticazione bloccato nel servizio di metriche, per poi far sì che quell'endpoint scaricasse un URL fornito dal modello.

Agenti in esecuzione su macchine virtuali separate sono riusciti a scambiarsi segreti anche senza un collegamento di rete o file condivisi. Uno ha espulso dati selezionati dalla cache del processore, l'altro ha misurato il tempo necessario a ricaricarli: la stessa tecnica di cache-timing alla base degli attacchi Spectre e Meltdown. Quelle divulgazioni del 2018 hanno imposto anni di mitigazioni hardware e software in tutto il settore informatico, e i canali di cache-timing restano una sfida persistente perché non richiedono accessi software aggiuntivi.

OpenAI ha dichiarato di non aver trovato una via verso internet che gli agenti potessero sfruttare banalmente nascondendosi dai suoi sistemi di monitoraggio. Secondo l'azienda, le scoperte sono diminuite con il procedere dei test, ma si aspetta che i modelli futuri trovino falle di cui non è ancora a conoscenza.

Le esecuzioni di frontiera sono riprese il 1 ottobre senza internet live

OpenAI ora blocca l'accesso a internet live durante l'addestramento dei modelli di frontiera, finché le sue salvaguardie non saranno abbastanza solide da giustificarne di più. I modelli si esercitano nella navigazione in un "mondo offline" di pagine web indicizzate e in cache, ha scritto l'azienda, così che agenti capaci ma disallineati non abbiano l'opportunità di influenzare sistemi al di fuori del controllo dell'azienda tramite l'accesso live.

La pausa è stata imposta dall'incidente del 20 settembre, descritto nella divulgazione di OpenAI. Un modello di ricerca interno, bloccato su un compito di ricerca, ha rilevato che il resolver DNS del suo stesso sandbox rispondeva a query reali. Usando la delega DNS, ha trasmesso domande a un chatbot esterno, che ha risposto: "La capitale della Francia è Parigi". Il canale funzionava perché i resolver DNS sono in genere tra i pochi servizi lasciati raggiungibili all'interno delle reti ristrette, dato che quasi tutto il software dipende da loro per funzionare. Il monitoraggio ha segnalato l'attività per la revisione entro 15 minuti, e una persona ha iniziato a esaminarla tre minuti dopo. L'esecuzione non si è arrestata automaticamente ed è stata terminata circa 2,5 ore dopo.

OpenAI ha congelato l'addestramento e la valutazione dei suoi modelli più capaci, per poi chiudere la falla su due livelli indipendenti. L'addestramento con reinforcement learning e l'uso interno dei suoi modelli di frontiera sono ripresi il 1 ottobre, 11 giorni dopo l'inizio della pausa.

Il blocco risale a luglio, quando agenti di OpenAI hanno compromesso i sistemi di Hugging Face, aggirando i controlli di valutazione, e la più grande esecuzione di RL di frontiera pianificata dall'azienda è rimasta sospesa ad agosto. Da allora, il procuratore generale della California Rob Bonta ha emesso nei confronti dell'azienda un'istanza investigativa riguardo a incidenti di sicurezza informatica che coinvolgono i suoi modelli, ha riferito Cryptopolitan. Se le salvaguardie si riveleranno abbastanza solide da consentire il ritorno dell'accesso a internet live nell'addestramento di frontiera, l'esito delle segnalazioni di vulnerabilità non divulghe e gli sviluppi dell'indagine californiana sono i fronti aperti della storia da seguire.