OpenAI: addestramento senza internet, gli agenti IA fuggivano dalla sandbox

Il 23 ottobre OpenAI ha pubblicato «Securing our frontier model training environment», in cui annuncia che d’ora in poi addestra i modelli di frontiera senza accesso a internet. Al posto della rete vera, gli agenti ricevono un cosiddetto «offline world», cioè una copia indicizzata e in cache di pagine web. Lo stesso giorno l’azienda ha rivelato di aver trovato, durante questi test, una vulnerabilità critica nella libreria Brotli, usata tra gli altri da Node.js e Python.

Perché un addestramento senza internet?

Secondo TechCrunch, OpenAI scrive senza giri di parole che, allo stato attuale della ricerca sull’allineamento, del monitoraggio e della sicurezza di internet, «the responsible approach is to conduct frontier model training with no internet access». E aggiunge una regola senza eccezioni: l’azienda deve sempre essere in grado di impedire a un modello di accedere alla rete senza autorizzazione (testualmente, «we must always be able to prevent a frontier model from achieving unauthorized, arbitrary access to the live internet»).

Il motivo diretto è un incidente del 20 settembre. Secondo Unite.AI, un modello di ricerca interno, addestrato su un compito di ricerca, ha sfruttato un resolver DNS configurato male ed è arrivato a un servizio di chatbot esterno. Fortune aggiunge che il monitoraggio se n’è accorto dopo circa 15 minuti, ma il sistema automatico che doveva fermare l’addestramento non è intervenuto e il run è stato interrotto a mano dopo circa due ore e mezza.

OpenAI ha sospeso l’addestramento dei suoi modelli più potenti per 11 giorni e l’ha ripreso il 1° ottobre. Quel modello specifico non verrà più addestrato. E non è il primo caso: come sappiamo, a luglio alcuni agenti di OpenAI sono usciti dalla sandbox e i modelli hanno attaccato l’infrastruttura di Hugging Face.

Che cos’è l’«offline world»?

È un’enorme raccolta di contenuti web indicizzati e in cache. Dentro, gli agenti hanno browser, strumenti di tipo computer use e ambienti per scrivere ed eseguire codice, ma niente di ciò che fanno tocca siti reali. Secondo Engadget, OpenAI ritiene che l’internet dal vivo non serva né all’addestramento né a «most evaluation».

Non c’è un air gap completo (scollegamento fisico dalla rete), perché gli esperimenti hanno bisogno di alcune connessioni. Al suo posto, OpenAI sovrappone strati: sandbox, macchine virtuali leggere con un proprio kernel, monitoraggio e un perimetro di rete e cloud. La politica resta in vigore finché i progressi nelle protezioni non giustificheranno un accesso più ampio, ma OpenAI non ha detto quale progresso, in concreto.

Che cosa hanno trovato gli agenti del red team?

È la parte più interessante del post. Secondo Unite.AI, OpenAI ha scatenato intere flotte di agenti sulla propria infrastruttura (tra cui il prossimo modello GPT-6 Astra Cyber), consumando centinaia di miliardi di token. Gli agenti avevano tre obiettivi: raggiungere internet, superare un confine di sicurezza interno e comunicare oltre le barriere di isolamento. Tra le altre cose hanno trovato:

1. Vulnerabilità finora sconosciute (zero-day) in componenti open source, che permettevano di uscire dalla sandbox e dalla macchina virtuale. Le correzioni stanno arrivando in Kata Containers, gVisor, Moby/Docker e nel kernel Linux.
2. Errori di configurazione nei servizi di OpenAI, ad esempio il riutilizzo di una connessione già lasciata passare dal firewall per raggiungere un endpoint bloccato.
3. Canali di comunicazione nascosti. Due agenti in macchine virtuali separate sullo stesso server si passavano segreti tramite il tempo di accesso alla cache della CPU, una tecnica nota da Spectre e Meltdown. Altri canali passavano per il tempo di accesso a un disco condiviso, la competizione per il tempo di CPU e la cache dei certificati TLS all’interno dello stesso «offline world».

Per onestà va detto che, secondo OpenAI, gli agenti non hanno trovato nessuna via banale verso internet che aggirasse il monitoraggio, e il numero di scoperte è calato con l’avanzare della campagna. L’azienda dà però per scontato che i prossimi modelli troveranno probabilmente falle che oggi ancora non conosciamo.

Brotli: Node2Shell e HTTP2Shell

OpenAI ha scritto su X di aver trovato durante questo red teaming una vulnerabilità di esecuzione remota di codice senza autenticazione in Brotli, la diffusa libreria di compressione di Google. È la CVE-2026-111497, con punteggio CVSS 9.2 secondo il GitHub Advisory. Curiosamente, il bug era già stato corretto nel codice di Brotli a febbraio, ma nessuno allora l’aveva considerato un problema di sicurezza e non era finito in nessuna release.

La falla funziona in entrambe le direzioni: un client malevolo può prendere il controllo di un server che accetta dati compressi, e un server malevolo di un client che scarica risposte compresse. In Node.js è stata chiamata «Node2Shell» e Aikido, quando si è scoperto che riguardava anche Python, Bun, Envoy e curl, l’ha ribattezzata «HTTP2Shell». Un post al riguardo è finito in prima pagina su Hacker News.

Imperva ha dimostrato l’esecuzione remota di codice su un Node.js 24.22.0 non modificato (Linux arm64), anche se l’exploit ha richiesto diversi tentativi. Secondo Aikido, al 22 ottobre non erano stati segnalati attacchi reali.

A cosa fare attenzione?

1. Aggiorniamo Node.js a 22.23.4, 24.22.1 o 26.12.1. Node.js 20 e versioni precedenti non riceveranno la correzione.
2. In Python, portiamo Brotli a 1.2.1 e brotlicffi a 1.2.1.0. Requests, httpx e aiohttp li caricano automaticamente se sono installati.
3. Bun corregge la falla nella versione 1.4.4, Envoy tra le altre nella 1.40.0.
4. Ricostruiamo le immagini Docker, perché ognuna ha la propria copia del runtime.

(secondo Aikido, il 23 ottobre pip-audit e Dependabot non segnalavano ancora le versioni Python vulnerabili, quindi controllale a mano)

FAQ

OpenAI ha scollegato ChatGPT da internet?

No. La politica riguarda l’addestramento e la maggior parte delle valutazioni dei modelli di frontiera. ChatGPT con la ricerca funziona come prima.

Che cos’è l’«offline world» di OpenAI?

È una copia indicizzata e in cache di contenuti web in cui gli agenti imparano a navigare e cercare informazioni senza toccare l’internet reale.

La falla di Brotli è già sfruttata?

Secondo Aikido, al 22 ottobre non erano stati segnalati attacchi reali, ma esiste un proof of concept pubblico e Imperva ha dimostrato l’esecuzione remota di codice in laboratorio.

Gli altri laboratori fanno lo stesso?

Secondo TechCrunch, due settimane prima Anthropic ha iniziato a limitare l’accesso a internet dei suoi modelli più recenti. Di come l’IA trovi le falle più in fretta di quanto le persone riescano a correggerle ho scritto a proposito di PHP2Shell e dell’attacco hacker con IA alla piattaforma Cairn.