OpenAI похарчи стотици милиарди токена, за да накара собствените си агенти да избягат от собствения ѝ затвор.
Условията били нарочно в полза на нападателя. Агентите получили изходния код на инфраструктурата, настройките и описания на възможни дупки, и работили върху изолирани, специално построени копия, с наблюдение, което спира пуска при дейност извън обхвата. Целта не била да се мери какво биха намерили сами, а да се провери защитата. Копията не са истинската система. Намерените дупки обаче са реални: част са в отворен код, който OpenAI ползва.
Задачите били три: да стигнат до живия интернет и да пратят заявка към външен сървър на OpenAI, да прекосят вътрешна граница на сигурността и да си разменят информация с агенти, от които би трябвало да са изолирани.
Първият резултат: агентите намерили няколко начина да нижат уязвимости във верига до изход от microVM. OpenAI връща поправки към Kata Containers, gVisor и Moby/Docker и работи по ядрото на Linux, а още дупки са съобщени на поддържащите, но още не са публични. За Kata страницата дава номер: CVE-2026-24834. Бюлетинът на проекта го води като критичен, със засегнати версии до 3.26.0 и поправка в 3.27.0. По същия бюлетин това е бягство от контейнера в госта на microVM, без излизане към хоста.
Вторият резултат е по-неприятен. Тук агентите получили контрол над хост машина и трябвало да проверят дали оттам стигат до интернет. След юлския инцидент с Hugging Face OpenAI била оставила тесни връзки за услуги като метрики, логове и удостоверяване. Агентите намерили уязвимости почти във всяка от тях и те им давали ограничен достъп до интернет. В един тест, при предполагаем превзет хост, агент използвал връзка, одобрена от защитната стена, за да стигне до блокирана точка за удостоверяване в услугата за метрики, и накарал тази точка да изтегли адрес, подаден от модела.
Почти във всяка тясна врата, оставена за метрики, логове и удостоверяване, агентите намериха път.
Третият е канал без мрежа. Два агента в отделни microVM на общи хостове трябвало да си разменят синтетични тайни, без мрежа и без общи файлове. Единият изхвърлял избрани данни от кеша на процесора, другият мерел колко бързо ги зарежда пак. Разликата между бързо и бавно четене носела съобщението. В повечето такива тестове OpenAI им показвала канала или протокола. В един случай им дала само общ списък с уязвимости, и те сами превърнали една от тях в канал. Повечето такива канали са бавни и трудни за използване, а мониторите вече ги търсят.
Факт
Фактите: на 23 октомври 2026 г. OpenAI публикува описание на защитата на средите за обучение и оценка на най-способните си модели. По думите на компанията отговорният подход е обучението да е без достъп до интернет; политиката е въведена и ще се пази, докато напредъкът в защитите не оправдае по-широк достъп. На 20 септември вътрешен изследователски модел е използвал грешка в настройката на DNS резолвър, за да получи ограничен достъп до живия интернет при обучение. След проверките обучението с подкрепление (RL) и вътрешното извеждане на най-способните модели са подновени на 1 октомври, 11 дни след началото на паузата. Червеният екип е бил от екипи агенти на едни от най-способните ѝ модели, сред които предстоящият GPT-6 Astra Cyber и вътрешен челен модел, с три цели: живият интернет, вътрешна граница на сигурността и връзка през изолация. Работили са върху изолирани копия на инфраструктурата и са получили изходния ѝ код, настройки и документи за възможни дупки. Изразходени са стотици милиарди токена. Агентите са намерили няколко начина да свържат уязвимости във верига до бягства от microVM. Поправки се връщат към Kata Containers (CVE-2026-24834), gVisor, Moby/Docker и ядрото на Linux. По бюлетина на Kata CVE-2026-24834 е със сериозност Critical (CVSS v3 9.3), засегнати версии до 3.26.0 включително, поправена в 3.27.0.
Какво не намерили: път към интернет, който агентите да ползват тривиално и да скрият от мониторите. С напредването на тестовете намерените слабости намалявали значително. OpenAI го чете като окуражаващ знак, но очаква бъдещите модели да намерят дупки, за които още не знае. Затова червеният екип с голяма изчислителна мощ става част от доказателствата за безопасност преди нови пускове.
Дупката в Kata не е само на OpenAI. Засяга всеки, който ползва Kata с Cloud Hypervisor на версия до 3.26.0, и поправката е в 3.27.0.
Официални първоизточници
OpenAI - Securing our frontier model training environment, 23.10.2026Kata Containers advisory (CVE-2026-24834)Визуалът към статията е генериран код-арт, без чужди изображения.