OpenAI heeft eigen trainingsomgevingen laten aanvallen. De agents ontdekten onbekende kwetsbaarheden, ontsnapten uit microVM’s en communiceerden met elkaar via de processorcache. Frontier-modellen trainen voortaan als gevolg daarvan zonder toegang tot het live internet, vanwege significante risico’s.
De aanleiding is een reeks incidenten. Op 20 september misbruikte een intern onderzoeksmodel een foutieve configuratie in een DNS-resolver. Daardoor kreeg het tijdens een trainingsrun beperkte toegang tot het live internet. De agent voerde via een externe chatbot minstens 20 zoekopdrachten uit. De run stopte niet automatisch en werd pas na ongeveer 2,5 uur handmatig beëindigd.
Na het incident pauzeerde OpenAI de training en evaluatie van zijn krachtigste modellen. Op 1 oktober, elf dagen later, ging de reinforcement learning-training weer van start.
Aanvallers met voorkennis
Wat gebeurde er in die tussentijd? OpenAI zette teams van agents in om de eigen infrastructuur te kraken. Daarvoor gebruikte het onder meer het nog te verschijnen GPT-6 Astra Cyber, een opvolger in de lijn van GPT-5.4 Cyber, en een intern frontier-model. De agents kregen broncode, configuratiedetails en documentatie over mogelijke kwetsbaarheden. Alles draaide op geïsoleerde kopieën van de onderzoeksomgeving. In totaal gingen er honderden miljarden tokens doorheen.
Agents koppelden kwetsbaarheden aan elkaar om uit microVM’s te ontsnappen. Dat leverde patches op voor onder meer Kata Containers (CVE-2026-24834), gVisor en Moby/Docker, plus verschillende fixes voor de Linux-kernel. Ook in vrijwel elke resterende verbinding naar buiten, zoals diensten voor metrics, logging en authenticatie, vonden ze lekken. Eén agent hergebruikte een door de firewall goedgekeurde verbinding om een geblokkeerd authenticatie-endpoint een door het model opgegeven URL te laten ophalen.
De agents hadden geen netwerk nodig om met elkaar te praten. In afzonderlijke microVM’s op dezelfde host wisselden ze synthetische geheimen uit via de processorcache. De ene agent verdrong bepaalde data uit de cache, de andere mat hoe lang het herladen duurde. Dezelfde timingtechniek werd eerder gebruikt bij chipkwetsbaarheden Spectre en Meltdown. Andere kanalen liepen via gedeelde opslag, concurrentie om CPU-tijd en een TLS-certificaatcache. OpenAI heeft monitoringchecks toegevoegd om zulke pogingen te detecteren.
Een offline wereld
Volgens OpenAI vonden de agents geen route naar het internet die eenvoudig te misbruiken was zonder dat de monitoring dat opmerkte. Toch blijft het beleid streng. Frontier-training gebeurt zonder internettoegang, in een “offline wereld” van geïndexeerde en gecachte webcontent. Daaromheen liggen meerdere lagen: sandboxes, microVM’s met een eigen kernel achter een hypervisor, monitoring en netwerk- en cloudperimeters. Volledig air-gappen is volgens het bedrijf niet haalbaar, omdat experimenten externe verbindingen nodig hebben.
“Op basis van de huidige stand van het onderzoek, monitoringsystemen en de beveiliging van de internetinfrastructuur, zijn wij van mening dat de meest verantwoorde aanpak is om frontier model-trainingen uit te voeren zonder internettoegang. We hebben dit beleid ingevoerd en zullen het handhaven totdat verbeteringen in deze securitymaatregelen een bredere internettoegang rechtvaardigen”, aldus OpenAI.