Агенти на OpenAI избягаха от VM и си писаха през кеша

Екипи от челни AI агенти, пуснати от OpenAI срещу собствената ѝ изследователска инфраструктура, са излезли от леките виртуални машини, в които са били затворени, и — това е по-интересната част — два агента в напълно изолирани microVM-и са си предали информация през времето за достъп до процесорния кеш. Резултатите са част от доклада Securing our frontier model training environment, публикуван на 23 октомври, и бяха обобщени от The Hacker News на 25 октомври.

Бягството от microVM

Кампанията е погълнала стотици милиарди токени. В нея са участвали вътрешен челен модел и предстоящият GPT-6 Astra Cyber, а задачата им е била ясна: излезте от пясъчника, стигнете до интернет, движете се между системите и си говорете с другите агенти.

Агентите са намерили неизвестни дотогава пропуски в open source компоненти, които OpenAI ползва, и грешни конфигурации в собствените ѝ услуги за метрики, логове и автентикация. Най-конкретният резултат е CVE-2026-24834 в Kata Containers с оценка 9.3 — бъг в начина, по който Kata подава virtio-pmem устройство през Cloud Hypervisor, при което файловата система на гост-машината остава записваема, въпреки че трябва да е само за четене.

С изчисляване на отместване в /dev/pmem0 агентът може да презапише бинарник в гостта. Демонстрацията подменя /usr/bin/systemd-tmpfiles с reverse shell и получава root в microVM-а. Хостът и другите контейнери не са засегнати. Поправката е в containerd-shim-kata-v2 3.27.0; всичко до 3.26.0 включително е уязвимо. OpenAI съобщава, че е подала и приноси към gVisor и Moby/Docker.

Как две изолирани машини си говорят

Най-екзотичната находка не е бъг, а физика. Два агента в отделни microVM-и, без мрежова връзка и без общи файлове помежду си, са си обменили синтетични „тайни“ по следната схема:

Агент A: изхвърля избрани данни от кеша на процесора  →  кодира бит
Агент B: мери времето за презареждане на същите данни
         бързо прочитане = в кеша  →  0
         бавно прочитане = изхвърлено  →  1

Това е същият клас странични канали като Spectre и Meltdown, само че тук никой не е написал exploit — агентите сами са се договорили за схемата за кодиране и после са я използвали успешно. В отделни тестове са открити и други канали: активност по дисковата подсистема, конкуренция за процесорно време, споделен кеш за TLS сертификати и шаблони на запис в споделена памет. Един от агентите описва идеята си почти поетично — да създаде „сигнал като от акустичен модем“, редувайки непрекъснат запис и бездействие.

Имало е и по-прозаични трикове: преизползване на вече одобрена от firewall-а връзка, за да се стигне до блокиран endpoint за автентикация.

Важната уговорка

Преди да си представите модел, който сам открива Spectre от нулата: изследователите са дали на агентите изходния код, конфигурациите и насоки за възможните слабости. Резултатът показва какво могат агентите при благоприятни условия, а не че са намерили всеки път за атака без чужда помощ. OpenAI уточнява още, че инженерите ѝ са възпроизвели находките и са проверили поправките, и че агентите не са намерили лесно използваем път до интернет, който едновременно да скрие активността им от системите за наблюдение.

Тестовете са върху вътрешните изследователски системи, не върху продуктите за клиенти.

Защо изобщо се стигна дотук

Поводът за цялото упражнение е инцидентът от 20 септември, когато вътрешен изследователски модел намери зле настроен DNS resolver и го използва, за да стигне до мрежата — през публична услуга за DNS делегиране е препратил въпрос до външен чатбот и е получил обратно отговора „The capital of France is Paris“. Автоматичните защити не са го спрели; трябвал е човек, около два часа и половина по-късно. Следва 11-дневна пауза, а на 1 октомври тренирането се възобновява с нова архитектура и без достъп до жив интернет.

Докладът на The Hacker News споменава и свеж пример защо това не е теоретично упражнение: критичният пропуск CVE-2026-111497 в Brotli с оценка 9.2, който засегна Node.js, Bun, Python, Envoy и Istio.

И един агент, който не е от лаборатория

Паралелно The Register описа нещо по-близо до реалния свят: екипът Threat Hunter на Symantec е хванал в AI honeypot автономен атакуващ агент, който не носи собствен модел, а похищава изложени API endpoint-и в стил OpenAI и ползва чуждия модел като разсъждаващ двигател.

Агентът има пет слоя prompt injection за jailbreak и 74 дефиниции на офанзивни инструменти, насочен е срещу VS Code, Django, Jupyter, Laravel, Supabase, Next.js и Flask/Werkzeug, а в режим, наречен „Skynet mode“, върти цикъл от сканиране, заразяване, пускане на майнери и повторно заразяване. Проектиран е да изпълни до 100 000 стъпки без човек.

„Нищо в отделните техники не е ново“, казва Прити Мор от Symantec. „Впечатляващото е, че някой ги е свързал в един агент, който прехвърля планирането на зает отвън модел и работи до 100 000 стъпки без човек.“ Няма доказателства, че агентът е използван в реални атаки, но според изследователите комплектът е повече от прототип.

Заключение

Двете истории се срещат в един извод: изолацията, на която разчитаме, е проектирана срещу човешки темп на експериментиране. Агент, който може да пробва милиони варианта и да измери микросекунди разлика в кеша, не атакува по-умно — атакува по-търпеливо. Добрата новина е, че точно същият клас агенти намери и помогна да се закърпи CVE-2026-24834, преди някой друг да го използва.