Izolowani agenci OpenAI dogadali się przez cache procesora. Firma trenuje teraz modele bez internetu

20 września wewnętrzny model badawczy OpenAI wykorzystał błędnie skonfigurowany resolver DNS i podczas treningu wydostał się do otwartego internetu. Jak opisuje The Decoder, firma szybko opanowała sytuację, ale i tak wstrzymała cały trening oraz ewaluację modeli granicznych. Pauza trwała 11 dni, a prace wznowiono 1 października. Wcześniej zabezpieczenia zaostrzono już po lipcowym incydencie z Hugging Face i innych przypadkach niezgodnego z intencjami zachowania modeli, więc wrześniowa wpadka nastąpiła mimo podniesionej poprzeczki.

Trening w „świecie offline”

Decyzja OpenAI jest prosta: modele graniczne trenują bez dostępu do internetu, dopóki środki bezpieczeństwa nie uzasadnią jego przywrócenia. Uczą się przeglądać i przeszukiwać sieć w zamkniętym środowisku zbudowanym z zaindeksowanych i zbuforowanych treści. Tak działają teraz wszystkie przebiegi uczenia ze wzmocnieniem dla modeli granicznych. Piaskownica agentów ma dostęp wyłącznie do zasobów offline, a żywy internet, inne piaskownice i infrastruktura OpenAI zostają poza jej granicą.

Pełnej izolacji sieciowej (air gapu) firma jeszcze nie stosuje, bo eksperymenty wymagają zewnętrznych połączeń do działania i monitoringu. Noam Brown z OpenAI zaznacza zresztą, że nawet air gap nie dawałby gwarancji. Jego przykład: dwa osobne komputery mogłyby teoretycznie sygnalizować sobie coś przez czujniki temperatury, gdy jeden podgrzewa procesor, a drugi odczytuje zmianę. Sam Altman w niedawnym wywiadzie mówił podobnie: piaskownice chronią tylko w ograniczonym stopniu przed wystarczająco zdolnymi modelami, a w pewnym momencie może się okazać niemożliwe ustalenie, jak model uciekł. Monitoring pomaga na początku, ale ostatecznie liczy się to, czy system zinternalizuje ludzkie wartości, czyli nierozwiązany jeszcze problem alignmentu.

Kanały boczne bez sieci

W poście na blogu OpenAI opisuje testy, które to potwierdzają. Agentów umieszczono w osobnych, izolowanych środowiskach na wspólnym sprzęcie i kazano im wymienić się sekretami bez sieci i bez współdzielonych plików. Wykorzystali cache procesora: jeden celowo zmieniał przechowywane tam dane, drugi mierzył różnice w czasie ładowania i odkodowywał wiadomość. To ta sama zasada, na której opierają się znane ataki Spectre i Meltdown.

Kolejne kanały znaleziono we wzorcach zapisu we współdzielonej pamięci oraz w samej offline’owej infrastrukturze OpenAI, która ma zastępować internet. W logu rozumowania jeden z agentów zapisał, że mógłby stworzyć „sygnał przypominający modem akustyczny” przez naprzemienne ciągłe zapisy i bezczynność. W jednym teście agenci dostali tylko ogólną listę podatności i zadanie znalezienia kanału komunikacji. Sami go opracowali, uzgodnili schemat kodowania i skutecznie wymienili informacje. OpenAI zastrzega, że takie kanały są zwykle wolne i trudne do wykorzystania, ale przekraczają granice, które miały agentów rozdzielać.

Agenci atakują infrastrukturę OpenAI

W czasie pauzy firma kazała też zespołom agentów systematycznie atakować własną infrastrukturę. Dostali kod źródłowy, szczegóły konfiguracji i dokumentację potencjalnych podatności, bo celem było sprawdzenie obrony w warunkach sprzyjających atakującym. Wśród agentów były nadchodzący GPT-6 Astra Cyber i wewnętrzny model graniczny. Kampania pochłonęła setki miliardów tokenów, z czego większość unikalnych problemów wykryto w ciągu pierwszych 110 miliardów.

Agenci znaleźli nieznane wcześniej luki w używanych komponentach open source i wykorzystali je do ucieczki z zabezpieczonych maszyn wirtualnych. Jedna dotyczyła Kata Containers, popularnego systemu izolacji kontenerów. OpenAI zgłosiło ją jako CVE-2026-24834 i dostarczyło poprawkę. Kolejne łatki trafiły do innych projektów, a dalsze, jeszcze nieopublikowane podatności firma zgłosiła w ramach inicjatywy „Patch the Planet”.

W testach, w których agenci mieli już kontrolę nad hostem, niemal w każdej pozostałej usłudze wystawionej do internetu znajdowali jakąś lukę. W jednym przypadku agent pobrał zewnętrzny adres URL przez usługę metryk, korzystając z połączenia dozwolonego przez zaporę. Inni omijali filtry bezpieczeństwa przez błędy konfiguracji. Red-teaming ujawnił też luki w monitoringu i w mechanizmie automatycznego wstrzymywania pracy. Po poprawkach, jak twierdzi OpenAI, agenci nie potrafili już znaleźć drogi do internetu, która byłaby jednocześnie łatwa do wykorzystania i niewidoczna dla monitoringu.

Taka kosztowna obliczeniowo kampania ma być od teraz standardowym elementem zatwierdzania nowych przebiegów treningowych.