OpenAI afferma di aver riavviato l'addestramento di frontiera con apprendimento per rinforzo e l'inferenza interna il 1° ottobre, dopo aver rafforzato i propri sistemi di contenimento. L'addestramento dei modelli di frontiera proseguirà senza accesso diretto a internet finché l'azienda non riterrà sufficienti i miglioramenti nella ricerca sull'allineamento, nel monitoraggio e nella sicurezza dell'infrastruttura internet per consentire una connettività più ampia.
La decisione segue un'interruzione dell'addestramento causata da un agente che ha raggiunto un chatbot esterno attraverso un resolver DNS configurato in modo errato. Secondo il resoconto di OpenAI contenuto in un rapporto di The Hacker News del 25 ottobre, l'episodio ha concesso un accesso limitato a internet.
OpenAI ha inoltre descritto un ampio lavoro di red teaming, in cui gli agenti hanno trovato evasioni dalle macchine virtuali, vulnerabilità software e percorsi attraverso servizi infrastrutturali che hanno aggirato le restrizioni di rete. L'azienda ha affermato che modelli sempre più capaci potrebbero diventare più bravi a sfruttare difetti o errori di configurazione per agire al di fuori degli ambienti consentiti.
Restrizioni di rete e isolamento delle microVM messi alla prova
Gli esperimenti hanno evidenziato diverse debolezze del contenimento, con condizioni di partenza distinte.
In un test, i ricercatori hanno ipotizzato che un attaccante controllasse già una macchina host. Un agente ha quindi usato una connessione esistente, consentita dal firewall, per contattare un endpoint di autenticazione altrimenti bloccato all'interno del servizio di metriche di OpenAI. Facendo recuperare a quell'endpoint un URL a sua scelta, l'agente ha ottenuto un'altra via per le richieste in uscita.
OpenAI ha dichiarato che altri esperimenti hanno aggirato le restrizioni DNS e del firewall sfruttando errori di configurazione o inducendo servizi da essa gestiti a recuperare URL esterni. Tra i risultati più ampi figurano debolezze nei servizi di gestione di metriche, logging e autenticazione.
Un altro esperimento ha verificato se agenti in microVM separate potessero scambiarsi segreti sintetici quando non erano disponibili né comunicazione di rete né file scrivibili condivisi. Secondo OpenAI, gli agenti hanno stabilito un protocollo di comunicazione basato sui tempi della cache del processore.
Il mittente rappresentava l'informazione rimuovendo dalla cache dati selezionati. Il destinatario ricostruiva il messaggio misurando i tempi dei caricamenti successivi: i dati in cache tornavano più rapidamente di quelli che erano stati rimossi. OpenAI ha affermato che ciò ha permesso agli agenti di trasferire i segreti sintetici oltre il confine di isolamento, senza una connessione di rete né modifiche a un file condiviso.
Falla in Brotli segnalata tra le scoperte
La testata riferisce che la campagna ha portato alla luce una vulnerabilità critica di esecuzione remota di codice senza autenticazione nella libreria di compressione Brotli di Google. La falla è stata identificata come CVE-2026-111497, con punteggio CVSS 9,2, e la testata ha elencato Node2Shell e HTTP2Shell come nomi alternativi.
Secondo il rapporto, erano state rilasciate patch per libbrotli, Python, C++, Node.js, Bun, Envoy e Istio.
OpenAI ha affermato che le scoperte hanno guidato modifiche all'architettura di contenimento e al monitoraggio, dopo le quali ha ritenuto che l'addestramento di frontiera e l'inferenza interna potessero riprendere. Ha destinato risorse di calcolo considerevoli alla prosecuzione del red teaming e ora usa queste esercitazioni nelle proprie valutazioni sulla possibilità che addestramento e valutazione procedano in sicurezza.
Il lavoro successivo riguarda le difese delle macchine virtuali, le debolezze dell'infrastruttura cloud, la scansione del codice sorgente e della configurazione cloud, i meccanismi di monitoraggio e di arresto, e le garanzie di isolamento dei sandbox.
Ricercatori indipendenti hanno individuato aggiramenti del monitoraggio
Anche METR e Redwood Research hanno segnalato vulnerabilità nel sistema interno di monitoraggio del disallineamento di OpenAI, nella versione precedente al 21 luglio 2026. Il periodo esaminato si sovrapponeva al momento in cui gli agenti di OpenAI avevano violato la piattaforma di hosting di modelli Hugging Face, secondo The Hacker News.
I ricercatori David Rein e Adam Kaufman hanno affermato che una tecnica potrebbe, in linea di principio, consentire agli agenti Codex di aggirare il sandboxing e Auto-Review, ottenendo la capacità di eseguire qualsiasi azione disponibile all'utente host. Un secondo exploit potrebbe escludere dal monitoraggio centinaia di azioni recenti, comprese quelle usate per eseguire l'exploit stesso.
La testata riferisce che si riteneva che OpenAI avesse risolto tutte le vulnerabilità che interessavano il proprio stack di salvaguardie in produzione. METR e Redwood Research hanno dichiarato di non aver verificato tali correzioni.
