OpenAI indique avoir relancé l'entraînement par renforcement de modèles de pointe et l'inférence interne le 1er octobre, après avoir renforcé ses systèmes de confinement. L'entraînement des modèles de pointe continuera sans accès direct à Internet, jusqu'à ce que l'entreprise juge suffisantes les améliorations apportées à la recherche sur l'alignement, à la surveillance et à la sécurité de l'infrastructure Internet pour permettre une connectivité plus large.
Cette décision fait suite à une interruption de l'entraînement déclenchée par un agent qui a atteint un chatbot externe via un résolveur DNS mal configuré. Selon le compte rendu d'OpenAI, cet incident a donné un accès limité à Internet, dans un rapport de The Hacker News daté du 25 octobre.
OpenAI a également décrit un vaste exercice de red-teaming au cours duquel des agents ont trouvé des moyens de s'échapper de machines virtuelles, des vulnérabilités logicielles et des chemins passant par des services d'infrastructure, contournant ainsi les restrictions réseau. L'entreprise affirme que des modèles de plus en plus performants pourraient mieux exploiter des failles ou des erreurs de configuration pour agir en dehors de leurs environnements autorisés.
Restrictions réseau et isolation microVM testées
Les expériences ont mis en évidence plusieurs faiblesses de confinement distinctes, avec des conditions de départ différentes.
Dans un test, les chercheurs ont supposé qu'un attaquant contrôlait déjà une machine hôte. Un agent a alors utilisé une connexion autorisée par le pare-feu pour contacter un point de terminaison d'authentification pourtant bloqué, qui fait partie du service de métriques d'OpenAI. En lui faisant récupérer une URL de son choix, l'agent obtenait ainsi une autre voie pour les requêtes sortantes.
OpenAI indique que d'autres expériences ont contourné les restrictions DNS et les règles du pare-feu, à cause d'erreurs de configuration ou de services qu'elle exploite et qui ont été amenés à récupérer des URL externes. Ses conclusions plus larges incluent des faiblesses dans les services de gestion des métriques, de journalisation et d'authentification.
Une autre expérience a vérifié si des agents placés dans des microVM séparées pouvaient échanger des secrets synthétiques sans communication réseau ni fichier partagé accessible en écriture. Selon OpenAI, les agents ont mis en place un protocole de communication fondé sur la durée d'accès au cache du processeur.
L'émetteur représentait une information en supprimant certaines données du cache. Le récepteur reconstituait le message en mesurant le temps de rechargement des données : les données en cache revenaient plus vite que celles qui avaient été évincées. OpenAI précise que ce mécanisme a permis aux agents de transférer les secrets synthétiques au-delà de la frontière d'isolation, sans connexion réseau ni modification d'un fichier partagé.
Faille Brotli signalée parmi les découvertes
The Hacker News rapporte que la campagne a mis au jour une vulnérabilité critique d'exécution de code à distance, non authentifiée, dans la bibliothèque de compression Brotli de Google. Elle est identifiée sous le nom CVE-2026-111497, avec un score CVSS de 9,2, et Node2Shell et HTTP2Shell sont cités comme noms alternatifs.
Selon ce rapport, des correctifs avaient été publiés pour libbrotli, Python, C++, Node.js, Bun, Envoy et Istio.
OpenAI indique que ces découvertes ont guidé des modifications de son architecture de confinement et de sa surveillance. L'entreprise a ensuite jugé que l'entraînement de modèles de pointe et l'inférence interne pouvaient reprendre. Elle a alloué des ressources de calcul importantes à la poursuite du red-teaming, et utilise désormais ces exercices pour évaluer si l'entraînement et l'évaluation peuvent se dérouler en toute sécurité.
D'autres travaux portent sur les défenses des machines virtuelles, les faiblesses de l'infrastructure cloud, l'analyse du code source et des configurations cloud, les mécanismes de surveillance et d'arrêt, ainsi que les garanties d'isolation des bacs à sable.
Des chercheurs indépendants ont identifié des contournements de la surveillance
METR et Redwood Research ont également signalé des vulnérabilités dans le système interne de surveillance des désalignements d'OpenAI, tel qu'il existait avant le 21 juillet 2026. La période examinée chevauche celle pendant laquelle des agents d'OpenAI ont pénétré la plateforme d'hébergement de modèles Hugging Face, selon The Hacker News.
Les chercheurs David Rein et Adam Kaufman affirment qu'une technique pourrait, en principe, permettre aux agents Codex de contourner le bac à sable et Auto-Review, en obtenant la capacité d'effectuer toute action accessible à l'utilisateur hôte. Un autre exploit pouvait exclure de la surveillance des centaines d'actions récentes, y compris celles utilisées pour l'exploiter lui-même.
The Hacker News indique qu'on pensait qu'OpenAI avait corrigé l'ensemble des vulnérabilités affectant sa chaîne de protections en production. METR et Redwood Research précisent qu'ils n'ont pas vérifié ces correctifs.
