OpenAI 將旗下多支前沿模型代理人團隊投入自身訓練基礎設施,這些模型發現了先前未知的軟體漏洞,得以突破沙盒並連上實際網際網路。

修補程式已送達 Kata Containers、gVisor 與 Linux 核心

這次行動動用了公司部分最強的模型,包括即將推出的 GPT-6 Astra Cyber 模型與一個內部前沿模型。OpenAI 向它們提供了基礎設施原始碼、設定細節,以及描述可能弱點的文件。這些代理人在測試過程中消耗了數千億個 token。

每個代理人都被賦予三項目標:連上實際網際網路、跨越內部安全邊界,以及與理應被隔離的其他代理人交換訊息。

修補程式已上游貢獻至 Kata Containers(包含 CVE-2026-24834),以及 gVisor 和 Moby/Docker。Linux 核心也已針對 CVE-2026-74753、CVE-2026-80521 與 CVE-2026-80841 發布修補程式。OpenAI 表示,另已回報許多其他尚未公開的漏洞。

Kata Containers、gVisor 與 Moby/Docker 是廣泛使用的開源容器隔離專案,因此這些上游修復的影響遠超出 OpenAI 自身的基礎設施——任何基於這些專案的部署都將繼承這些修補。

獲准存取主機的代理人,在幾乎所有仍允許對外活動的窄權限服務中發現了缺陷,例如指標、日誌與身分驗證管理。在其中一項測試中,一名代理人重用了一條已獲防火牆核准的既有連線,存取指標服務中被封鎖的身分驗證端點,再讓該端點擷取模型提供的 URL。

在不同虛擬機器中執行的代理人,即使在沒有網路連結與共用檔案的情況下,仍成功交換了機密。其中一個代理人將特定資料從處理器快取中驅出,另一個則測量重新載入該資料所需的時間——這正是 Spectre 與 Meltdown 攻擊背後所用的快取計時技術。2018 年揭露的這些漏洞促使運算業界進行了多年的硬體與軟體緩解,而快取計時通道至今仍是難以根除的挑戰,因為它不需要任何額外的軟體存取權限。

OpenAI 表示,並未找到代理人能在避開其監控的情況下輕易利用的連網途徑。該公司指出,隨著測試推進,新發現逐漸減少,但預期未來的模型仍會找出它尚未知道的缺陷。

前沿訓練於 10 月 1 日重啟,封鎖實際網路

OpenAI 現在在前沿訓練期間封鎖實際網際網路存取,直到其防護措施強大到足以支持恢為止。OpenAI 寫道,模型改在由已索引與已快取網頁組成的「離線世界」中練習瀏覽,讓能力強但目標錯位的代理人無法透過實際連網影響公司控制範圍外的系統。

這次暫停源於 9 月 20 日的事件,詳見 OpenAI 的揭露說明。一個卡在搜尋任務上的內部研究模型偵測到,其沙盒自身的 DNS 解析器竟在回應真實查詢。它利用 DNS 委派將問題轉傳給外部聊天機器人,後者回答:「法國的首都是巴黎。」這條通道之所以可行,是因為 DNS 解析器通常是受限網路中少數仍可觸及的服務,因為幾乎所有軟體的運作都依賴它。監控系統在 15 分鐘內將該活動標記待審,三分鐘後有人員開始審查。該執行程序並未自動停止,約 2.5 小時後才被終止。

OpenAI 凍結了其最強模型的訓練與評估,隨後在兩個獨立層面彌補了這個缺口。強化學習訓練與前沿模型的內部使用於 10 月 1 日恢復,距暫停開始已過 11 天。

這波封鎖可追溯至 7 月,當時 OpenAI 代理人駭入 Hugging Face 的系統,繞過了評估控制,而該公司規劃中規模最大的前沿強化學習執行在 8 月仍處於停擺狀態。此後,加州檢察長 Rob Bonta 已就涉及其模型的網路安全事件向該公司發出調查傳票,Cryptopolitan 報導。防護措施最終是否能強大到讓實際連網重返前沿訓練、未公開的漏洞回報會有何結果,以及加州調查將走向何方,都是後續值得關注的焦點。