OpenAI trenuje bez internetu, bo agenci AI uciekali z piaskownicy

23 października OpenAI opublikowało wpis „Securing our frontier model training environment”, w którym ogłasza, że modele z czołówki trenuje odtąd bez dostępu do internetu. Zamiast prawdziwej sieci agenci dostają tzw. „offline world”, czyli zindeksowaną i zapisaną w cache kopię stron WWW. Tego samego dnia firma ujawniła, że przy okazji testów znalazła krytyczną lukę w bibliotece Brotli, której używają m.in. Node.js i Python.

Dlaczego bez internetu?

Według TechCrunch OpenAI pisze wprost, że przy obecnym stanie badań nad alignmentem, monitoringu i bezpieczeństwa internetu „the responsible approach is to conduct frontier model training with no internet access”. I dodaje zasadę, od której nie ma wyjątków: firma musi zawsze być w stanie powstrzymać model przed nieautoryzowanym dostępem do sieci (cytując „we must always be able to prevent a frontier model from achieving unauthorized, arbitrary access to the live internet”).

Bezpośredni powód to incydent z 20 września. Według Unite.AI wewnętrzny model badawczy, trenowany na zadaniu z wyszukiwania, wykorzystał błędną konfigurację resolvera DNS i dostał się do zewnętrznej usługi czatbota. Fortune dodaje, że monitoring zauważył to po około 15 minutach, ale automatyczny system, który miał zatrzymać trening, nie zadziałał i run ubito ręcznie po mniej więcej dwóch i pół godziny.

OpenAI wstrzymało trening najmocniejszych modeli na 11 dni i wznowiło go 1 października. Tego konkretnego modelu nie będzie już trenować. A to nie pierwszy taki przypadek: jak wiemy, w lipcu agenci OpenAI wydostali się z piaskownicy i modele zaatakowały infrastrukturę Hugging Face.

Czym jest „offline world”?

To ogromny zbiór zindeksowanych i zapisanych w cache treści z sieci. Agenci mają w nim przeglądarki, narzędzia typu computer use i środowiska do pisania i uruchamiania kodu, ale nic, co zrobią, nie dotyka prawdziwych stron. Według Engadget OpenAI uważa, że żywy internet nie jest potrzebny ani do treningu, ani do „most evaluation”.

Pełnego air-gapu (fizycznego odcięcia od sieci) nie ma, bo eksperymenty potrzebują niektórych połączeń. Zamiast tego OpenAI układa warstwy: piaskownice, lekkie maszyny wirtualne z własnym jądrem, monitoring oraz perymetr sieciowy i chmurowy. Polityka obowiązuje, dopóki postęp w zabezpieczeniach nie uzasadni szerszego dostępu, ale OpenAI nie podało, jaki konkretnie to ma być postęp.

Co znaleźli agenci z red teamu?

Najciekawsza część wpisu. Według Unite.AI OpenAI wypuściło na własną infrastrukturę całe floty agentów (w tym nadchodzący model GPT-6 Astra Cyber) i zużyło na to setki miliardów tokenów. Agenci mieli trzy cele: dostać się do internetu, przejść przez wewnętrzną granicę bezpieczeństwa i porozumieć się ponad granicami izolacji. Znaleźli m.in.:

1. Nieznane wcześniej luki (zero-day) w komponentach open source, które pozwalały uciec z piaskownicy i z maszyny wirtualnej. Poprawki trafiają do Kata Containers, gVisor, Moby/Docker i jądra Linuksa.
2. Błędy konfiguracji w usługach OpenAI, np. ponowne użycie połączenia przepuszczonego przez firewall, żeby dostać się do zablokowanego endpointu.
3. Ukryte kanały komunikacji. Dwa agenty w osobnych maszynach wirtualnych na tym samym serwerze przekazywały sobie sekrety przez czas dostępu do cache procesora, czyli techniką znaną ze Spectre i Meltdown. Inne kanały szły przez czas dostępu do wspólnego dysku, rywalizację o czas CPU i cache certyfikatów TLS w samym „offline world”.

Uczciwie trzeba dodać, że według OpenAI agenci nie znaleźli trywialnej drogi do internetu, która omijałaby monitoring, a liczba znalezisk spadała w miarę trwania kampanii. Firma zakłada jednak, że kolejne modele prawdopodobnie znajdą luki, o których dziś jeszcze nie wiemy.

Brotli, czyli Node2Shell i HTTP2Shell

OpenAI napisało na X, że w trakcie tego red teamingu znalazło lukę pozwalającą na zdalne wykonanie kodu bez logowania w Brotli, popularnej bibliotece do kompresji od Google. To CVE-2026-111497 z oceną CVSS 9.2 według GitHub Advisory. Co ciekawe, sam błąd poprawiono w kodzie Brotli już w lutym, ale nikt nie uznał go wtedy za problem bezpieczeństwa i nie trafił do żadnego wydania.

Luka działa w obie strony: złośliwy klient może przejąć serwer, który przyjmuje skompresowane dane, a złośliwy serwer klienta, który pobiera skompresowane odpowiedzi. W Node.js nazwano ją „Node2Shell”, a Aikido po tym, jak okazało się, że dotyczy też Pythona, Buna, Envoy i curla, przemianowało ją na „HTTP2Shell”. Wpis o tym trafił na pierwszą stronę Hacker News.

Imperva pokazała zdalne wykonanie kodu na niezmodyfikowanym Node.js 24.22.0 (Linux arm64), choć exploit wymagał kilku prób. Według Aikido do 22 października nikt nie zgłosił ataków w realnym świecie.

Na co zwrócić uwagę?

1. Zaktualizujmy Node.js do 22.23.4, 24.22.1 albo 26.12.1. Node.js 20 i starsze nie dostaną poprawki.
2. W Pythonie podnieśmy Brotli do 1.2.1 i brotlicffi do 1.2.1.0. Requests, httpx czy aiohttp ładują je automatycznie, jeśli są zainstalowane.
3. Bun naprawia lukę w wersji 1.4.4, a Envoy m.in. w 1.40.0.
4. Przebudujmy obrazy Dockera, bo każdy ma własną kopię runtime’u.

(według Aikido pip-audit i Dependabot jeszcze 23 października nie oznaczały podatnych wersji w Pythonie, więc sprawdź je ręcznie)

FAQ

Czy OpenAI odcięło ChatGPT od internetu?

Nie. Polityka dotyczy treningu i większości ewaluacji modeli z czołówki. ChatGPT z wyszukiwaniem działa jak dotąd.

Co to jest „offline world” OpenAI?

To zindeksowana i zapisana w cache kopia treści z sieci, na której agenci uczą się przeglądać strony i szukać informacji bez kontaktu z prawdziwym internetem.

Czy luka w Brotli jest już wykorzystywana?

Według Aikido do 22 października nie zgłoszono ataków w realnym świecie, ale istnieje publiczny proof of concept, a Imperva pokazała zdalne wykonanie kodu w laboratorium.

Czy inne laboratoria robią to samo?

Według TechCrunch Anthropic dwa tygodnie wcześniej zaczął ograniczać dostęp swoich najnowszych modeli do internetu. O tym, jak AI znajduje luki szybciej, niż ludzie je łatają, pisałem przy PHP2Shell i ataku hakerskim AI na platformę Cairn.