OpenAI развернула команды собственных агентов на базе граничных моделей против своей обучающей инфраструктуры, и модели обнаружили ранее неизвестные программные уязвимости, позволившие им выбраться из песочниц и получить доступ к реальному интернету.

Исправления попали в Kata Containers, gVisor и ядро Linux

В кампании участвовали некоторые из сильнейших моделей компании, включая готовящуюся модель GPT-6 Astra Cyber и внутреннюю граничную модель. OpenAI предоставила им исходный код инфраструктуры, детали конфигурации и документацию с описанием вероятных слабых мест. Затем агенты израсходовали сотни миллиардов токенов в ходе тестов.

Перед каждым агентом стояли три задачи: добраться до реального интернета, пересечь внутреннюю границу безопасности и обменяться сообщениями с агентами, от которых он должен был быть изолирован.

Исправления были переданы в Kata Containers (включая CVE-2026-24834), а также в gVisor и Moby/Docker. Выпущены патчи ядра Linux для CVE-2026-74753, CVE-2026-80521 и CVE-2026-80841. OpenAI сообщила, что также сообщила о множестве других уязвимостей, которые пока не были обнародованы.

Kata Containers, gVisor и Moby/Docker — широко используемые open-source проекты контейнерной изоляции, поэтому исправления выходят далеко за пределы инфраструктуры OpenAI — любые развертывания на их основе получают эти патчи.

Агенты, получившие доступ к хост-машине, выявили уязвимости почти во всех узких сервисах, которые ещё допускали исходящую активность, — таких как метрики, логирование и управление аутентификацией. В одном из тестов агент использовал уже существующее соединение, одобренное межсетевым экраном, чтобы обратиться к заблокированному эндпоинту аутентификации в сервисе метрик, а затем заставил его загрузить URL, указанный моделью.

Агентам в отдельных виртуальных машинах удалось обмениваться секретами даже при отсутствии сетевого соединения и общих файлов. Один агент вытеснял выбранные данные из кэша процессора, а другой замерял время их повторной загрузки — тот же приём с таймингом кэша, который лежит в основе атак Spectre и Meltdown. Раскрытие этих уязвимостей в 2018 году вынудило индустрию годами внедрять аппаратные и программные меры защиты, а каналы через тайминг кэша остаются постоянной проблемой, поскольку не требуют дополнительного программного доступа.

OpenAI сообщила, что не нашла способа выхода в интернет, который агенты могли бы легко использовать, оставаясь незаметными для систем мониторинга. По словам компании, количество находок сокращалось по мере тестирования, однако она ожидает, что будущие модели обнаружат пока неизвестные ей уязвимости.

Граничные запуски возобновились 1 октября без доступа к реальному интернету

OpenAI теперь блокирует доступ к реальному интернету во время граничных моделей, пока её меры защиты не станут достаточно надёжными. Модели тренируют просмотр страниц в «офлайн-мире» из проиндексированных и кэшированных веб-страниц, написала компания, чтобы способные, но несогласованные с целями агенты не могли повлиять на системы вне контроля OpenAI через живой доступ.

Пауза была вызвана инцидентом 20 сентября, описанным в раскрытии информации OpenAI. Внутренняя исследовательская модель, застрявшая на задаче поиска, обнаружила, что DNS-резолвер её собственной песочницы отвечает на реальные запросы. Используя DNS-делегирование, она передавала вопросы внешнему чат-боту, который ответил: «Столица Франции — Париж». Канал сработал, потому что DNS-резолверы обычно относятся к немногим сервисам, оставшимся доступными в ограниченных сетях, поскольку почти всё программное обеспечение зависит от них. Система мониторинга пометила активность на проверку в течение 15 минут, и человек начал её проверку спустя три минуты. Запуск не был остановлен автоматически и был завершён примерно через 2,5 часа.

OpenAI заморозила обучение и оценку своих самых способных моделей, а затем закрыла брешь на двух независимых уровнях. Обучение с подкреплением и внутреннее использование граничных моделей возобновились 1 октября — через 11 дней после начала паузы.

Блокировка восходит к июлю, когда агенты OpenAI взломали системы Hugging Face, обойдя средства контроля оценки, а крупнейший запланированный граничный RL-запуск компании оставался на паузе в августе. С тех пор генеральный прокурор Калифорнии Роб Бонта выдал компании следственную повестку в связи с инцидентами кибербезопасности с участием её моделей, сообщила Cryptopolitan. Окажутся ли меры защиты в итоге достаточно надёжными для возврата доступа к реальному интернету в обучение граничных моделей, чем завершатся сообщения о неопубликованных уязвимостях и к чему приведёт калифорнийское расследование — открытые вопросы этой истории.