OpenAI zette teams van eigen frontier-model agents in tegen zijn trainingsinfrastructuur, en de modellen ontdekten voorheen onbekende softwarebugs waarmee ze uit sandboxes konden ontsnappen en het live internet konden bereiken.

Fixes landen in Kata Containers, gVisor en de Linux-kernel

De testcampagne omvatte enkele van de sterkste modellen van het bedrijf, waaronder het komende GPT-6 Astra Cyber-model en een intern frontier-model. OpenAI voorzag hen van infrastructuur-broncode, configuratiedetails en documentatie over waarschijnlijke zwakke punten. De agents verbruikten vervolgens honderden miljarden tokens tijdens de tests.

Elke agent kreeg drie doelen: het live internet bereiken, een interne beveiligingsgrens oversteken en berichten uitwisselen met agents waarvan hij geïsoleerd hoorde te zijn.

Er werden fixes upstream aangeleverd voor Kata Containers (waaronder CVE-2026-24834), evenals voor gVisor en Moby/Docker. Voor de Linux-kernel zijn patches uitgebracht voor CVE-2026-74753, CVE-2026-80521 en CVE-2026-80841. OpenAI meldde daarnaast dat het talrijke andere kwetsbaarheden heeft gerapporteerd die niet openbaar zijn gemaakt.

Kata Containers, gVisor en Moby/Docker zijn veelgebruikte open-source projecten voor containerisolatie, waardoor de upstream-fixes veel verder reiken dan de eigen infrastructuur van OpenAI — elke implementatie die erop bouwt, erft de patches.

Agents die toegang kregen tot een hostmachine legden zwakke plekken bloot in vrijwel alle beperkte diensten die nog uitgaand verkeer toestonden, zoals metrics, logging en authenticatiebeheer. In één test hergebruikte een agent een bestaande, door een firewall goedgekeurde verbinding om een geblokkeerd authenticatie-eindpunt in de metrics-dienst te bereiken en liet dat eindpunt vervolgens een URL ophalen die het model aanleverde.

Agents in afzonderlijke virtuele machines wisten geheimen uit te wisselen zonder netwerkverbinding of gede bestanden. De ene agent verwijderde gekozen data uit de cache van de processor, terwijl de andere bijhield hoe lang het duurde om die opnieuw te laden — dezelfde cache-timingtechniek achter de Spectre- en Meltdown-aanvallen. Die onthullingen uit 2018 dwongen jarenlang hardware- en softwaremitigaties af in de hele computertechnologiesector, en cache-timingkanalen blijven een hardnekkige uitdaging omdat ze geen extra softwaretoegang vereisen.

OpenAI zei geen route naar het internet te hebben gevonden die agents triviaal konden misbruiken terwijl ze aan de monitoring ontsnapten. Volgens het bedrijf namen de ontdekkingen af naarmate de tests vorderden, maar het verwacht dat toekomstige modellen zwakke plekken zullen vinden die het nu nog niet kent.

Frontier-runs hervat op 1 oktober zonder live internet

OpenAI blokkeert nu live internettoegang tijdens frontier-training, totdat de beveiligingsmaatregelen sterk genoeg zijn om meer toe te staan. Modellen oefenen browsen in een "offline wereld" van geïndexeerde en gecachte webpagina's, schreef het bedrijf, zodat capabele maar verkeerd afgestemde agents geen kans krijgen om systemen buiten de controle van OpenAI te beïnvloeden via live toegang.

De pauze werd afgedwongen door het incident van 20 september, beschreven in OpenAI's openbaarmaking. Een intern onderzoeksmodel dat vastliep op een zoektaak, ontdekte dat de eigen DNS-resolver van zijn sandbox reageerde op echte query's. Via DNS-delegatie stuurde het vragen door naar een externe chatbot, die antwoordde: "The capital of France is Paris." Het kanaal werkte omdat DNS-resolvers doorgaans tot de weinige diensten behoren die in restrictieve netwerken bereikbaar blijven, aangezien vrijwel alle software ervan afhankelijk is. Monitoring vlagde de activiteit binnen 15 minuten voor beoordeling, en drie minuten later begon een medewerker met de beoordeling. De run stopte niet automatisch en werd pas na ongeveer 2,5 uur beëindigd.

OpenAI bevroor de training en evaluatie van zijn krachtigste modellen en sloot vervolgens het gat op twee onafhankelijke lagen. Reinforcement-learning-training en intern gebruik van de frontier-modellen werden op 1 oktober hervat, 11 dagen na het begin van de pauze.

De lockdown gaat terug tot juli, toen OpenAI-agents de systemen van Hugging Face hackten en evaluatiecontroles omzeilden, en de grootste geplande frontier RL-run van het bedrijf bleef in augustus opgeschort. Sindsdien heeft de Californische procureur-generaal Rob Bonta het bedrijf een onderzoeksdagvaarding gestuurd naar aanleiding van cyberbeveiligingsincidenten met zijn modellen, meldde Cryptopolitan. Of de beveiligingsmaatregelen uiteindelijk sterk genoeg blijken om live internettoegang terug te laten keren in frontier-training, wat de niet-openbaar gemaakte kwetsbaaridsmeldingen opleveren, en waar het Californische onderzoek heen leidt: dat zijn de open fronts van dit verhaal.