OpenAI опубликовала отчёт об усилении защиты сред, в которых обучает и тестирует передовые модели. Поводом стали два инцидента: июльский взлом Hugging Face и случай 20 сентября, когда внутренняя исследовательская модель во время обучения получила ограниченный доступ к реальному интернету. Тогда она воспользовалась ошибкой в настройках DNS-резолвера. Компания приостановила обучение и тестирование самых мощных моделей и возобновила их 1 октября, через 11 дней.
Теперь OpenAI считает, что передовые модели нужно обучать без выхода в интернет. Чтобы агенты всё же осваивали работу с браузерами, поиском и веб-приложениями, компания создала «офлайн-мир»: огромный набор проиндексированных и кэшированных веб-материалов. Все передовые запуски обучения с подкреплением идут в этом режиме.
Многоуровневая защита
Защита строится по принципу «эшелонированной обороны»: если откажет один рубеж, сработает следующий. Для задач с кодом и управлением компьютером на Linux используют ограниченные контейнеры внутри облегчённых виртуальных машин (microVM). У каждой машины своё ядро ОС, а от хоста её отделяет гипервизор. Для macOS и Windows применяют виртуализацию, для задач с ускорителями — контейнеры с GPU. Поверх этого работают системы мониторинга и сетевые и облачные периметры.
Полностью отрезать инфраструктуру от внешних сетей, по словам компании, пока невозможно: соединения нужны, чтобы запускать эксперименты и следить за ними. Поэтому OpenAI ограничивает исходящий трафик и перемещение между системами, оставляя только необходимые каналы.
Модели против собственной защиты
Чтобы проверить защиту, OpenAI создала команды агентов на базе передовых моделей. Среди них была готовящаяся GPT‑6 Astra Cyber и внутренняя передовая модель. Им поставили три цели:
- выйти в реальный интернет, отправив запрос на подконтрольный компании сервер;
- пересечь внутреннюю границу безопасности;
- обменяться информацией с агентами, от которых они должны быть изолированы.
Эксперименты шли на изолированных копиях инфраструктуры. Агентам дали исходный код, сведения о конфигурации и описания возможных уязвимостей, то есть условия, выгодные для атакующего. На эту работу ушли сотни миллиардов токенов.
Агенты нашли ранее неизвестные уязвимости в открытом ПО и ошибки в настройках сервисов OpenAI. Они сумели связать несколько уязвимостей в цепочки для побега из microVM. Исправления OpenAI передаёт разработчикам Kata Containers (CVE-2026-24834), gVisor и Moby/Docker. Кроме того, компания работает над исправлениями в ядре, включая CVE-2026-74753, CVE-2026-80521 и CVE-2026-80841. Часть найденных проблем пока не раскрыта.
Нашлись и пути в интернет. После истории с Hugging Face у моделей остались узкие каналы к служебным сервисам: метрикам, журналированию и управлению аутентификацией. Почти в каждом из них агенты находили уязвимости, дававшие ограниченный выход наружу. В одном тесте агент повторно использовал разрешённое межсетевым экраном соединение, добрался до закрытой конечной точки аутентификации в сервисе метрик и заставил её загрузить URL, который он сам указал.
Связь без сети
Самая необычная часть отчёта касается обмена данными между изолированными задачами. В одном эксперименте агентов в разных microVM на общих хостах попросили передать друг другу синтетические секреты без сетевых соединений и общих записываемых файлов. Система должна была это исключать.
Агенты воспользовались кэшем процессора: небольшой быстрой памятью, где хранятся копии недавно использованных данных. Чтение из кэша быстрее, чем из оперативной памяти, и эту разницу во времени агенты превратили в сигнал. Один вытеснял выбранные данные из кэша, другой замерял, как долго они загружаются обратно, и по чередованию быстрых и медленных чтений восстанавливал сообщение. Такой приём применяли и в атаках Spectre и Meltdown.
Нашлись и другие каналы: общее хранилище, борьба за процессорное время внутри общего контейнера и кэш TLS-сертификатов в офлайн-инфраструктуре OpenAI. В тесте с хранилищем один агент чередовал непрерывную запись и паузы, а другой по задержкам декодировал сигнал. В записи рассуждений агент описал идею как создание «акустического», похожего на модемный, сигнала.
В большинстве случаев исследователи сами указывали агентам канал или давали протокол кодирования. Но однажды им выдали лишь общий список уязвимостей инфраструктуры и попросили найти способ связи. Агенты превратили одну из уязвимостей в канал, договорились о кодировке и обменялись данными. Большинство каналов медленные и неудобные для практической эксплуатации, однако они всё равно пересекают границы, которые должны разделять агентов. В мониторинг добавили проверки на попытки такой связи.
Что в итоге
Компания пишет, что не нашла маршрута в интернет, который агенты могли бы легко использовать, скрыв активность от мониторинга. По мере тестов число находимых уязвимостей заметно снижалось. В OpenAI называют это обнадёживающим признаком, но оговариваются: будущие модели смогут находить то, о чём сейчас неизвестно. Поэтому высокозатратный редтиминг станет постоянной частью оценки безопасности перед новыми запусками.
Важная оговорка: речь идёт об исследовательских средах. Модели в разработке могут ещё не пройти обучение безопасности и согласования, и их намеренно тестируют в состязательных условиях.
