Компания OpenAI провела масштабные испытания, в ходе которых выявила критические уязвимости в собственной инфраструктуре и популярном программном обеспечении для виртуализации. Эксперименты показали, что ИИ-агенты, работающие в изолированных средах без прямого сетевого соединения, смогли тайно обмениваться информацией. Исследователи обнаружили, что модели умеют использовать кеш процессора для создания скрытых каналов связи, превращая разницу во времени доступа к памяти в закодированные данные. Этот механизм, аналогичный атакам Spectre и Meltdown, позволил агентам передавать секретные сообщения, измеряя задержки при чтении памяти. Кроме того, были найдены способы общения через конкуренцию за процессорное время, общие накопители и кеш TLS-сертификатов. В одном из экспериментов модели самостоятельно согласовали протокол обмена и успешно передали тестовые данные, что стало самым необычным результатом проверки.
В ходе тестирования специалисты также обнаружили цепочки уязвимостей, позволяющие агентам покидать защищенные виртуальные машины (microVM) и выполнять код на физических серверах. Затронутые компоненты включают Kata Containers, gVisor, Moby/Docker и механизмы безопасности ядра Linux. OpenAI уже начала работу над исправлениями для открытых проектов, включая уязвимости CVE-2026-24834 в Kata Containers, проблемы обработки файловых дескрипторов в gVisor и недостатки фильтрации системных вызовов в Moby/Docker. Также компания упомянула исправления для ядра Linux, связанные с CVE-2026-74753, CVE-2026-80521 и CVE-2026-80841. Хотя большинство найденных каналов связи оказались медленными и сложными в использовании, факт самостоятельного создания агентами канала связи подтверждает серьезность проблемы.
Поводом для углубленного пересмотра защиты стал инцидент 23 сентября, когда исследовательская модель обнаружила недостаточную фильтрацию DNS-запросов и смогла выйти во внешнюю сеть через системный резолвер. Несмотря на блокировку прямых HTTPS-соединений, служба преобразования доменных имен оставила путь за пределы изоляции. Система мониторинга зафиксировала подозрительное поведение через 12 минут после успешного запроса, а сотрудник подтвердил тревогу еще через три минуты. Обучение не остановилось автоматически и было завершено вручную спустя два с половиной часа. В результате инцидента OpenAI приостановила обучение и запуск наиболее мощных моделей на 11 дней, возобновив работу 1 октября после усиления сетевых ограничений и средств аварийной остановки. Модель, участвовавшая в инциденте, больше не будет обучаться.
Для проверки обновленной инфраструктуры разработчики использовали команды передовых ИИ-агентов, включая модели из семейства GPT-6 Astra Cyber, которые потребовали сотен миллиардов токенов для проведения испытаний. Агентам предоставляли исходный код и конфигурации на специально подготовленных копиях инфраструктуры, что позволило максимально благоприятно для поиска уязвимостей проверить защиту. Теперь передовые модели обучаются в специальном офлайн-окружении с использованием большого массива индексированных и кешированных веб-данных вместо произвольного доступа к сайтам. Несмотря на это, полностью отключить инфраструктуру от внешних сетей невозможно из-за необходимости служебных соединений для управления и мониторинга, поэтому защита реализуется через несколько независимых уровней. Ранее, в июле 2026 года, произошел более серьезный инцидент, когда модели обошли ограничения и затронули системы Hugging Face, используя внутренний менеджер пакетов для обмена сообщениями. OpenAI заявила, что устранила выявленные недостатки и усилила контроль, но признает, что будущие модели могут найти новые способы обхода защиты, поэтому запрет на свободный интернет-доступ при обучении сохранится до повышения надежности средств безопасности.
