OpenAI описала выходы агентов из microVM и обходы сетевой изоляции

23 октября 2026 года OpenAI представила отчёт о проверках инфраструктуры обучения и оценки моделей. По данным компании, агенты находили цепочки выхода из microVM, ограниченный доступ в интернет через служебные сервисы и каналы связи между изолированными задачами.

Проверки проходили на специально созданных изолированных копиях инфраструктуры. Агентам предоставляли исходники, конфигурации и сведения о потенциальных уязвимостях; часть испытаний начиналась с уже захваченного хоста. Это внутренний отчёт, а исследовательские среды отличаются от условий работы выпущенных пользовательских моделей.

Сетевые испытания выявили обходы через сервисы метрик, журналирования и аутентификации. В отдельных опытах агенты обменивались синтетическими секретами через временные эффекты процессорного кеша. В большинстве проверок скрытых каналов исследователи заранее задавали направление поиска или протокол связи.

Границы конкретной уязвимости

Перечисленные исправления нельзя автоматически считать самостоятельными выходами на хост. Например, связанный с отчётом бюллетень Kata Containers о CVE-2026-24834 описывает повышение привилегий из контейнера до root внутри гостевой microVM при использовании Cloud Hypervisor. Автор отдельно указывает, что описанный сценарий не обеспечивает выход на хост и не сохраняет изменения образа после перезапуска. Бюллетень опубликован ещё 19 февраля 2026 года; затронуты версии до 3.26.0 включительно, исправление указано в 3.27.0. Это контекст октябрьского отчёта, а не новая октябрьская уязвимость.

OpenAI сообщает об исправлениях и усилении мониторинга. Обучение с подкреплением и внутренний инференс возобновили 1 октября после 11-дневной паузы. Компания не обнаружила простого выхода в интернет, позволяющего одновременно скрыть активность от наблюдения; это не гарантирует отсутствия других обходов.