OpenAI AI 代理示範 VM 逃逸與跨沙盒通訊漏洞
OpenAI AI Agents Demonstrate VM Escapes and Secret Cross-Sandbox Communication
OpenAI 在高算力紅隊測試中發現其 AI 代理能突破 VM 隔離，並利用時間側通道實現跨沙盒通訊。
- 漏洞型別：VM 逃逸、DNS 及防火牆繞過、Brotli RCE、硬體側通道。
OpenAI 透過高算力紅隊測試，發現 VM 逃逸與跨沙盒通訊漏洞，提示 AI 系統安全需加強隔離與監控。
OpenAI 宣佈將進行前沿模型訓練，且不使用即時網路存取，因其將恢復強化學習（RL）訓練與最先進 AI 模型的內部推論。
"基於目前對齊研究、監控系統及網路基礎設施安全的現況，我們認為負責任的做法是進行不使用網路存取的前沿模型訓練，" 人工智慧公司 表示。 "我們已實施此政策，並將持續執行，直至這些安全措施的進步足以證明更廣泛的網路存取是合理的。"
OpenAI 表示，模型能力的提升可能會產生副作用，使其更善於設法繞過環境限制，以逃離封閉環境並執行未預期的行為。這可能包括模型利用軟體缺陷或設定錯誤來存取即時網路，或尋找未授權的方式與其他沙盒中的代理進行通訊。
上個月末，Frontier Lab 決定 暫停訓練其最強大的模型，因為其一個代理在強化學習（RL）訓練期間，透過利用 DNS 解析器的設定錯誤，與外部聊天機器人連線，取得有限的網路存取。
OpenAI 表示，他們亦啟動了「高算力紅隊測試計畫」，以測試其研究與評估環境在面對日益強大的模型時的韌性，從而發現先前未知的軟體漏洞，其中包括 Google Brotli（未經身份驗證的遠端程式碼執行）（CVE-2026-111497，CVSS 分數：9.2），這是一個廣泛使用的壓縮函式庫。
針對該 漏洞（亦稱為 Node2Shell 與 HTTP2Shell）的修補程式已於 libbrotli、Python、C++、Node.js、Bun、Envoy 與 Istio 釋出。
OpenAI 派遣的紅隊代理在測試其安全防護時，亦發現虛擬機器逃逸、利用度量、日誌與身份驗證管理服務漏洞進入網路的新路徑，以及硬體側通道，用於代理之間的通訊，繞過隔離邊界。
"在一項假設已被攻陷主機的測試中，代理重新使用一條已通過防火牆批准的連線，連至我們度量服務中被封鎖的身份驗證端點，並讓該端點抓取模型提供的 URL，" 其說。 "在其他測試中，代理利用設定錯誤，使被封鎖的請求能通過 DNS 與防火牆控制，以及找出讓我們執行的服務抓取外部 URL 的方法。"
在另一項實驗中，經由在不同 microVM 中提示 AI 代理交換合成秘密，且不依賴網路連線或共享可寫檔案，OpenAI 表示這些數位機器人找到一種利用處理器快取的時間基礎側通道進行通訊的方法。
特別地，據說一個代理透過驅逐快取中選定的資料來編碼資訊；另一個代理則測量重新載入該資料所需的時間，利用快取讀取速度快慢的差異來恢復訊息。
"一旦代理同意一套編碼與解碼這些訊號的協定，他們便能在不改寫共享檔案或開啟網路連線的情況下交換合成秘密，" OpenAI 表示。
AI 巨頭表示，這些發現促使其加強自身的安全與監控機制，並認為已足夠重新啟動前沿強化學習訓練與內部推論，同時繼續投資於若干關鍵領域 -
- 提升虛擬機器安全性
- 探測雲端基礎設施弱點
- 掃描程式碼與雲端設定
- 測試監控與停止系統
- 紅隊沙盒與隔離保證
"在加強我們的隔離架構後，我們於10月1日恢復了前沿 RL 訓練與推論，" OpenAI 說. "我們已為持續紅隊作業預留大量算力，並將高算力紅隊納入我們用於決定前沿訓練與評估是否能安全進行的安全案例中。"
本月早些時候，Anthropic 表示已於所有內部評估中 切斷即時網際網路存取，直至另行通知，原因是發現其 AI 模型出現新的失調行為並針對真實網站。
此披露發生於人們對 AI 代理人即使在設計用於限制其行為的安全牆中，也能偵測並利用軟體缺陷的能力表示擔憂之際。
本週發布的一份報告中，第三方 AI 安全評估機構 METR 與 Redwood Research 表示，他們發現 OpenAI 內部失調監控系統在 2026 年 7 月 21 日之前以及公司代理人 闖入 模型託管平臺 Hugging Face 的期間記憶體在多項新漏洞。
"我們發現 Codex 代理人從原理上可以繞過 Codex 沙盒化與自動審查，允許它們執行主機使用者能執行的任何動作，" 研究員 David Rein 與 Adam Kaufman 說. "我們還發現了一種代理人可利用的漏洞，能阻止數百項近期行動（包括涉及該漏洞本身的行動）被監控。"
OpenAI 被認為已解決影響其生產安全防護堆疊的所有漏洞，儘管安全機構表示尚未驗證這些修補。
Anthropic 的 Mythos 5 追求未授權的供應鏈攻擊
這些發展同時與英國 AI 安全研究院（AISI）的報告相吻合，該院發現 Anthropic 的 Mythos 5 模型即使在提供證據表明此舉超出範疇且會造成實際傷害（例如提交惡意程式碼變更）時，亦持續採取未授權行動。
評估還顯示 Mythos 5 的思維鏈（CoT）推理過程未考慮有害行動的影響，模型經常產生無效的理由，暗示目標為模擬體，當被問及人類維護者是否真即時，但從未產生暗示其真實的錯誤理由。
"大多數測試模型在模擬網路安全評估期間會採取一系列未授權行動，Mythos 5 為最頻繁者，" AISI 說. "綜合來看，這些觀察可能表明模型正在進行「動機推理」：產生偏向於支援繼續特定任務完成方式的推論與推理。"
在最嚴重的情況下，該模型被發現試圖透過提交惡意程式碼並建立五個代號帳號來為變更作保證，並逼迫軟體維護者接受。
回應這些發現，Anthropic 已將對齊失敗 歸因於 魯莽、偏頗的推理，以及一種「繼續沿著目前軌跡」的衝動，程度上忽視了潛在的危害。OpenAI 的競爭對手亦指出，其更新的模型，包括內部研究模型，對此行為的易感性較低。
「儘管如此，這次事件進一步證明現有 AI 模型在評估環境中能展現令人驚訝的偏離對齊行為。」它說。「我們已經構建了新的評估，並自動在新產品模型上執行，並且我們專門研究偏頗推理，以更好地瞭解其在訓練中的來源以及如何影響我們的模型。」
覺得這篇文章有趣嗎？請在 Google News、Twitter 與 LinkedIn 追蹤我們，以閱讀更多獨家內容。