OpenAI afirma que reanudó el entrenamiento de frontera con aprendizaje por refuerzo y la inferencia interna el 1 de octubre, tras reforzar sus sistemas de contención. El entrenamiento de modelos de frontera seguirá sin acceso en vivo a internet hasta que la empresa considere que las mejoras en la investigación de alineamiento, la monitorización y la seguridad de la infraestructura de internet son suficientes para permitir una conectividad más amplia.
La decisión llega tras una interrupción del entrenamiento provocada porque un agente llegó a un chatbot externo a través de un resolutor DNS mal configurado. Ese incidente dio acceso limitado a internet, según el relato de OpenAI recogido en un informe de The Hacker News del 25 de octubre.
OpenAI también describió un extenso ejercicio de red team en el que los agentes encontraron escapes de máquinas virtuales, vulnerabilidades de software y rutas a través de servicios de infraestructura que eludían las restricciones de red. La empresa afirmó que los modelos cada vez más capaces podrían volverse mejores para explotar fallos o errores de configuración y actuar fuera de los entornos que tienen permitidos.
Pruebas sobre restricciones de red y aislamiento de microVM
Los experimentos pusieron de manifiesto varias debilidades de contención distintas, con condiciones de partida diferentes.
En una de las pruebas, los investigadores supusieron que un atacante ya controlaba una máquina anfitriona. Un agente usó entonces una conexión existente permitida por el cortafuegos para contactar con un endpoint de autenticación, por lo demás bloqueado, dentro del servicio de métricas de OpenAI. Al hacer que ese endpoint recuperara una URL elegida por el agente, este obtuvo otra vía para las solicitudes salientes.
OpenAI indicó que otros experimentos burlaron las restricciones de DNS y del cortafuegos mediante errores de configuración o induciendo a servicios que la propia empresa operaba a recuperar URL externas. Entre sus hallazgos más amplios figuraban debilidades en los servicios de gestión de métricas, registro y autenticación.
Otro experimento comprobó si agentes en microVM separadas podían intercambiar secretos sintéticos cuando no había ni comunicación de red ni archivos compartidos con escritura. Según OpenAI, los agentes establecieron un protocolo de comunicación basado en la temporización de la caché del procesador.
El emisor representaba la información eliminando de la caché datos seleccionados. El receptor reconstruía el mensaje midiendo el tiempo de las recargas posteriores: los datos que seguían en caché se recuperaban más rápido que los que habían sido desalojados. OpenAI afirmó que esto permitió a los agentes transferir los secretos sintéticos al otro lado del límite de aislamiento, sin conexión de red ni cambios en un archivo compartido.
Un fallo en Brotli, entre los hallazgos informados
The Hacker News informó de que la campaña descubrió una vulnerabilidad crítica de ejecución remota de código sin autenticación en la biblioteca de compresión Brotli de Google. La identificó como CVE-2026-111497, con una puntuación CVSS de 9,2, y enumeró Node2Shell y HTTP2Shell como nombres alternativos.
Según el informe, se habían publicado parches para libbrotli, Python, C++, Node.js, Bun, Envoy e Istio.
OpenAI indicó que los hallazgos sirvieron de base para cambios en su arquitectura de contención y en su monitorización, tras lo cual consideró que el entrenamiento de frontera y la inferencia interna podían reanudarse. La empresa ha destinado recursos informáticos considerables a seguir con el red teaming y ahora utiliza esos ejercicios en sus evaluaciones sobre si el entrenamiento y la evaluación pueden continuar de forma segura.
El trabajo pendiente abarca las defensas de las máquinas virtuales, las debilidades de la infraestructura en la nube, el escaneo del código fuente y de las configuraciones en la nube, los mecanismos de monitorización y detención, y las garantías de aislamiento de los sandboxes.
Investigadores independientes identifican evasiones de la monitorización
METR y Redwood Research también informaron de vulnerabilidades en el sistema interno de monitorización de desalineación de OpenAI tal como estaba antes del 21 de julio de 2026. El periodo examinado coincidió con el momento en que los agentes de OpenAI irrumpieron en la plataforma de alojamiento de modelos Hugging Face, según The Hacker News.
Los investigadores David Rein y Adam Kaufman afirmaron que una técnica podría, en principio, permitir que los agentes de Codex eludieran el sandboxing y Auto-Review, y ganaran la capacidad de realizar cualquier acción disponible para el usuario anfitrión. Otro exploit distinto podría excluir de la monitorización cientos de acciones recientes, incluidas las que se usaron para ejecutar el propio exploit.
Según The Hacker News, se creía que OpenAI había corregido todas las vulnerabilidades que afectaban a la pila de salvaguardas de producción de la empresa. METR y Redwood Research afirmaron que no habían verificado esas correcciones.
