OpenAI erklärt, das Reinforcement-Learning-Training für Frontier-Modelle und die interne Inferenz am 1. Oktober wieder aufgenommen zu haben, nachdem die Eindämmungssysteme verstärkt worden waren. Das Training von Frontier-Modellen läuft ohne Live-Internetzugang weiter, bis das Unternehmen die Verbesserungen in der Alignment-Forschung, der Überwachung und der Sicherheit der Internetinfrastruktur für ausreichend hält, um eine breitere Anbindung zu erlauben.
Die Entscheidung folgt auf eine Unterbrechung des Trainings, die ausgelöst wurde, als ein Agent über einen falsch konfigurierten DNS-Resolver einen externen Chatbot erreichte. Der Vorfall verschaffte laut der Darstellung von OpenAI in einem Bericht von The Hacker News vom 25. Oktober begrenzten Internetzugang.
OpenAI beschrieb außerdem eine umfangreiche Red-Teaming-Übung, in der Agenten Ausbrüche aus virtuellen Maschinen, Softwareschwachstellen und Wege über Infrastrukturdienste fanden, mit denen sich die Netzwerkbeschränkungen umgehen ließen. Das Unternehmen erklärte, zunehmend leistungsfähige Modelle könnten besser darin werden, Fehler oder Konfigurationsfehler auszunutzen, um außerhalb ihrer erlaubten Umgebungen zu agieren.
Netzwerkbeschränkungen und microVM-Isolation getestet
Die Experimente deckten mehrere unterschiedliche Schwachstellen der Eindämmung auf, die jeweils von eigenen Ausgangsbedingungen ausgingen.
Bei einem Test gingen die Forscher davon aus, dass ein Angreifer bereits eine Host-Maschine kontrollierte. Ein Agent nutzte dann eine bestehende, von der Firewall erlaubte Verbindung, um einen ansonsten blockierten Authentifizierungsendpunkt des Metrikdienstes von OpenAI zu kontaktieren. Indem er diesen Endpunkt dazu brachte, eine URL seiner Wahl abzurufen, verschaffte sich der Agent einen weiteren Weg für ausgehende Anfragen.
OpenAI erklärte, andere Experimente hätten DNS- und Firewall-Beschränkungen durch Konfigurationsfehler oder durch Dienste umgangen, die das Unternehmen selbst betreibt und die dazu gebracht wurden, externe URLs abzurufen. Zu den weiter gefassten Befunden gehörten Schwachstellen in den Diensten für Metriken, Protokollierung und Authentifizierungsverwaltung.
Ein weiteres Experiment prüfte, ob Agenten in getrennten microVMs synthetische Geheimnisse austauschen konnten, wenn weder eine Netzwerkverbindung noch beschreibbare gemeinsame Dateien zur Verfügung standen. Laut OpenAI einigten sich die Agenten auf ein Kommunikationsprotokoll, das auf dem Timing des Prozessor-Caches beruhte.
Der Sender kodierte Informationen, indem er ausgewählte Daten aus dem Cache entfernte. Der Empfänger rekonstruierte die Nachricht, indem er das Timing späterer Zugriffe maß: Zwischengespeicherte Daten kamen schneller zurück als Daten, die verdrängt worden waren. OpenAI zufolge ermöglichte dies den Agenten, die synthetischen Geheimnisse über die Isolationsgrenze hinweg zu übertragen, ohne Netzwerkverbindung oder Änderungen an einer gemeinsamen Datei.
Brotli-Lücke unter den gemeldeten Funden
The Hacker News berichtete, die Kampagne habe eine kritische Schwachstelle zur Remote-Code-Ausführung ohne Authentifizierung in der Brotli-Kompressionsbibliothek von Google aufgedeckt. Die Lücke wurde als CVE-2026-111497 mit einem CVSS-Wert von 9,2 geführt; als alternative Bezeichnungen wurden Node2Shell und HTTP2Shell genannt.
Dem Bericht zufolge wurden Patches für libbrotli, Python, C++, Node.js, Bun, Envoy und Istio veröffentlicht.
OpenAI erklärte, die Funde hätten Änderungen an der Eindämmungsarchitektur und der Überwachung angestoßen. Danach sei das Unternehmen zu dem Schluss gekommen, dass das Training von Frontier-Modellen und die interne Inferenz wieder aufgenommen werden könnten. Für die fortgesetzten Red-Teaming-Übungen seien erhebliche Rechenressourcen bereitgestellt worden, und die Ergebnisse flössen nun in die Bewertung ein, ob Training und Evaluierung sicher weiterlaufen können.
Weitere Arbeiten betreffen Abwehrmechanismen für virtuelle Maschinen, Schwachstellen der Cloud-Infrastruktur, das Scannen von Quellcode und Cloud-Konfigurationen, Mechanismen zur Überwachung und zum Stoppen sowie die Isolationsgarantien von Sandboxes.
Unabhängige Forscher fanden Umgehungen der Überwachung
METR und Redwood Research meldeten außerdem Schwachstellen im internen System von OpenAI zur Überwachung von Fehlausrichtung, so wie es vor dem 21. Juli 2026 bestand. Der untersuchte Zeitraum überschnitt sich laut The Hacker News mit der Zeit, in der OpenAI-Agenten in die Modell-Hosting-Plattform Hugging Face eindrangen.
Die Forscher David Rein und Adam Kaufman erklärten, eine Technik könnte es Codex-Agenten im Prinzip ermöglichen, das Sandboxing und Auto-Review zu umgehen und so jede Aktion auszuführen, die dem Host-Benutzer zur Verfügung steht. Ein separater Exploit könnte Hunderte aktuelle Aktionen von der Überwachung ausschließen, darunter auch die Aktionen, mit denen der Exploit selbst ausgeführt wurde.
The Hacker News schrieb, man gehe davon aus, dass OpenAI alle Schwachstellen behoben habe, die seine produktiven Sicherheitsmechanismen betrafen. METR und Redwood Research hätten diese Korrekturen jedoch nicht überprüft.
