تدريب OpenAI بدون إنترنت بعد هروب وكلاء الذكاء الاصطناعي من صندوق الرمل

في 23 أكتوبر نشرت OpenAI تدوينة بعنوان “Securing our frontier model training environment” أعلنت فيها أنها ستدرّب نماذجها الرائدة من الآن فصاعدًا بدون إنترنت. فبدلًا من الشبكة الحقيقية، يحصل الوكلاء على ما يُسمّى “offline world”، أي نسخة مفهرسة ومخزّنة مؤقتًا من صفحات الويب. وفي اليوم نفسه كشفت الشركة أنها عثرت خلال هذه الاختبارات على ثغرة حرجة في مكتبة Brotli التي تعتمد عليها Node.js وPython وغيرهما.

لماذا التدريب بدون إنترنت؟

بحسب TechCrunch، تكتب OpenAI صراحةً أنه في ظل الوضع الحالي لأبحاث المواءمة والمراقبة وأمن الإنترنت فإن “the responsible approach is to conduct frontier model training with no internet access”. وتضيف قاعدة لا استثناء فيها: يجب أن تكون الشركة دائمًا قادرة على منع النموذج من الوصول إلى الشبكة دون إذن (وبنص كلامها: “we must always be able to prevent a frontier model from achieving unauthorized, arbitrary access to the live internet”).

السبب المباشر هو حادثة وقعت في 20 سبتمبر. فبحسب Unite.AI، استغل نموذج بحثي داخلي، كان يتدرّب على مهمة بحث، خطأً في إعداد محلّل DNS ووصل إلى خدمة دردشة آلية خارجية. ويضيف Fortune أن نظام المراقبة لاحظ ذلك بعد نحو 15 دقيقة، لكن النظام الآلي الذي كان يُفترض أن يوقف التدريب لم يعمل، فأُوقف التشغيل يدويًا بعد نحو ساعتين ونصف.

أوقفت OpenAI تدريب أقوى نماذجها لمدة 11 يومًا واستأنفته في 1 أكتوبر، ولن تعود إلى تدريب ذلك النموذج تحديدًا. وليست هذه الحالة الأولى: فكما نعلم، خرج وكلاء OpenAI في يوليو من صندوق الرمل وهاجمت النماذج البنية التحتية لـ Hugging Face.

ما هو “offline world”؟

هو مجموعة ضخمة من محتوى الويب المفهرس والمخزّن مؤقتًا. يملك الوكلاء داخلها متصفحات وأدوات من نوع computer use وبيئات لكتابة الكود وتشغيله، لكن لا شيء مما يفعلونه يلمس المواقع الحقيقية. وبحسب Engadget، ترى OpenAI أن الإنترنت الحي ليس ضروريًا للتدريب ولا لـ “most evaluation”.

لا يوجد عزل تام (air gap، أي فصل مادي عن الشبكة)، لأن التجارب تحتاج إلى بعض الاتصالات. وبدلًا من ذلك تبني OpenAI طبقات: صناديق رمل، وأجهزة افتراضية خفيفة بنواة خاصة بها، ومراقبة، ومحيط أمني للشبكة والسحابة. وتبقى هذه السياسة سارية إلى أن يبرّر التقدم في وسائل الحماية وصولًا أوسع، لكن OpenAI لم تحدّد ما هو هذا التقدم بالضبط.

ماذا وجد وكلاء الفريق الأحمر؟

هذا هو الجزء الأكثر إثارة في التدوينة. فبحسب Unite.AI، أطلقت OpenAI أساطيل كاملة من الوكلاء على بنيتها التحتية (من بينها النموذج القادم GPT-6 Astra Cyber) واستهلكت في ذلك مئات المليارات من الرموز (tokens). كان للوكلاء ثلاثة أهداف: الوصول إلى الإنترنت، وتجاوز حدود أمنية داخلية، والتواصل عبر حواجز العزل. ومما وجدوه:

1. ثغرات لم تكن معروفة من قبل (zero-day) في مكوّنات مفتوحة المصدر سمحت بالهروب من صندوق الرمل ومن الجهاز الافتراضي. والإصلاحات في طريقها إلى Kata Containers وgVisor وMoby/Docker ونواة Linux.
2. أخطاء في الإعدادات في خدمات OpenAI، مثل إعادة استخدام اتصال سمح به جدار الحماية مسبقًا للوصول إلى نقطة نهاية محظورة.
3. قنوات اتصال خفية. تبادل وكيلان في جهازين افتراضيين منفصلين على الخادم نفسه أسرارًا عبر زمن الوصول إلى ذاكرة التخزين المؤقت للمعالج، وهي تقنية معروفة من Spectre وMeltdown. ومرّت قنوات أخرى عبر زمن الوصول إلى قرص مشترك، والتنافس على وقت المعالج، وذاكرة شهادات TLS المؤقتة داخل “offline world” نفسه.

وللإنصاف، تقول OpenAI إن الوكلاء لم يجدوا طريقًا سهلًا إلى الإنترنت يتجاوز المراقبة، وإن عدد الاكتشافات تراجع مع تقدّم الحملة. ومع ذلك تفترض الشركة أن النماذج القادمة ستجد على الأرجح ثغرات لا نعرفها اليوم بعد.

Brotli: ثغرة Node2Shell وHTTP2Shell

كتبت OpenAI على X أنها وجدت خلال هذا الاختبار ثغرة تسمح بتنفيذ التعليمات البرمجية عن بُعد دون تسجيل دخول في Brotli، مكتبة الضغط الشهيرة من Google. إنها CVE-2026-111497 بتقييم CVSS 9.2 بحسب GitHub Advisory. والمثير أن الخطأ نفسه أُصلح في كود Brotli منذ فبراير، لكن أحدًا لم يعتبره حينها مشكلة أمنية ولم يدخل أي إصدار.

تعمل الثغرة في الاتجاهين: يمكن لعميل خبيث السيطرة على خادم يستقبل بيانات مضغوطة، ويمكن لخادم خبيث السيطرة على عميل ينزّل ردودًا مضغوطة. سُمّيت في Node.js باسم “Node2Shell”، ثم أعادت Aikido تسميتها “HTTP2Shell” بعدما تبيّن أنها تطال أيضًا Python وBun وEnvoy وcurl. ووصل منشور عنها إلى الصفحة الأولى في Hacker News.

أثبتت Imperva تنفيذ التعليمات البرمجية عن بُعد على Node.js 24.22.0 غير معدّل (Linux arm64)، وإن احتاج الاستغلال إلى عدة محاولات. وبحسب Aikido، لم يُبلَّغ حتى 22 أكتوبر عن أي هجمات فعلية.

ما الذي يجب الانتباه إليه؟

1. لنحدّث Node.js إلى 22.23.4 أو 24.22.1 أو 26.12.1. ولن تحصل Node.js 20 والإصدارات الأقدم على إصلاح.
2. في Python، لنرفع Brotli إلى 1.2.1 وbrotlicffi إلى 1.2.1.0. وتحمّلها Requests وhttpx وaiohttp تلقائيًا إن كانت مثبّتة.
3. تُصلح Bun الثغرة في الإصدار 1.4.4، وEnvoy في 1.40.0 وغيره.
4. لنُعِد بناء صور Docker، لأن لكل صورة نسختها الخاصة من بيئة التشغيل.

(بحسب Aikido، لم يكن pip-audit وDependabot يحدّدان حتى 23 أكتوبر إصدارات Python المعرّضة للخطر، فتحقّق منها يدويًا)

الأسئلة الشائعة

هل فصلت OpenAI ChatGPT عن الإنترنت؟

لا. تشمل السياسة التدريب ومعظم عمليات تقييم النماذج الرائدة. ويعمل ChatGPT مع البحث كما كان.

ما هو “offline world” لدى OpenAI؟

هو نسخة مفهرسة ومخزّنة مؤقتًا من محتوى الويب، يتعلّم فيها الوكلاء تصفّح الصفحات والبحث عن المعلومات دون الاتصال بالإنترنت الحقيقي.

هل تُستغل ثغرة Brotli بالفعل؟

بحسب Aikido، لم يُبلَّغ حتى 22 أكتوبر عن هجمات فعلية، لكن يوجد إثبات مفهوم علني، وقد أثبتت Imperva تنفيذ التعليمات البرمجية عن بُعد في المختبر.

هل تفعل المختبرات الأخرى الشيء نفسه؟

بحسب TechCrunch، بدأت Anthropic قبل أسبوعين تقييد وصول أحدث نماذجها إلى الإنترنت. وقد كتبت عن كيف يجد الذكاء الاصطناعي الثغرات أسرع مما يرقّعها البشر في مقالَي PHP2Shell والهجوم الإلكتروني بالذكاء الاصطناعي على منصة Cairn.