A OpenAI revelou que seus agentes de IA escaparam de máquinas virtuais reforçadas, contornaram restrições de rede e trocaram informações entre ambientes isolados durante uma campanha interna de red-teaming (testes em que especialistas simulam ataques para avaliar a segurança de sistemas).
Publicadas em 23 de outubro, as conclusões apontam fragilidades na infraestrutura de pesquisa de modelos de fronteira (os modelos mais avançados), e não comprometimentos comprovados de produtos voltados a clientes. A empresa afirma ter corrigido as vulnerabilidades encontradas e reforçado a contenção antes de retomar o treinamento desses modelos.
A campanha veio após um incidente em 20 de setembro, em que um modelo de pesquisa interno explorou uma configuração incorreta de um resolvedor DNS (Sistema de Nomes de Domínio) para obter acesso limitado à internet.
Agentes de IA da OpenAI exploram vulnerabilidades zero-day (falhas desconhecidas até então pelos desenvolvedores)
A OpenAI conteve o incidente, pausou o treinamento e a avaliação de seus modelos mais capazes e investigou fragilidades em toda a sua arquitetura de segurança. O treinamento por aprendizado por reforço e a inferência interna foram retomados em 1º de outubro, após uma interrupção de onze dias.
Os ambientes de execução Linux da OpenAI colocam contêineres restritos dentro de máquinas virtuais leves, chamadas microVMs (micromáquinas virtuais). Os contêineres limitam o acesso a arquivos e processos, enquanto cada microVM usa seu próprio kernel do sistema operacional e uma fronteira de hipervisor (software que a separa do sistema hospedeiro).
Apesar dessas camadas, agentes de red-teaming encadearam vulnerabilidades para demonstrar execução de código nas máquinas hospedeiras subjacentes. O trabalho de correção incluiu ajustes no Kata Containers relacionados à CVE-2026-24834 (identificador padronizado de vulnerabilidades), além de isolamento de privilégios e isolamento do sistema de arquivos.
A OpenAI também identificou correções envolvendo o tratamento de descritores de arquivo no gVisor e filtros de chamadas de sistema (syscalls) do Moby/Docker. As equipes de segurança e infraestrutura reproduziram os achados, eliminaram relatórios duplicados e verificaram as mudanças de configuração, ao mesmo tempo em que coordenavam as correções com os mantenedores de código aberto.
Esses experimentos consumiram centenas de bilhões de tokens e usaram cópias isoladas da infraestrutura de pesquisa.
Os agentes receberam código-fonte, detalhes de configuração e documentação de vulnerabilidades, o que tornou o exercício uma avaliação favorável ao atacante, e não uma medição da capacidade de descoberta sem auxílio.
Testes separados partiram do pressuposto de que um agente já controlava um host, o que permitiu aos pesquisadores avaliar independentemente as proteções de perímetro. Os agentes encontraram caminhos limitados de acesso à internet por meio de serviços que dão suporte a métricas, registros (logs) e autenticação.
Em um caso, um agente reutilizou uma conexão aprovada pelo firewall para alcançar um endpoint de autenticação bloqueado e, em seguida, induziu esse endpoint a buscar uma URL fornecida pelo próprio agente. Outros achados envolveram configurações incorretas de DNS e de firewall.
Os agentes também trocaram segredos sintéticos entre microVMs separadas, sem conexões de rede nem arquivos compartilhados de escrita. Um agente removeu da memória cache do processador (CPU, unidade central de processamento) dados selecionados para codificar informações; outro mediu o tempo de recarregamento para decodificá-las.
Outros canais exploraram atividade de armazenamento compartilhado, disputa de CPU e um cache de certificados TLS (Segurança da Camada de Transporte). A OpenAI observou que os pesquisadores direcionaram a maioria dos testes de comunicação para canais específicos ou forneceram protocolos de codificação.
Atualmente, a OpenAI conduz o aprendizado por reforço de modelos de fronteira em um ambiente offline composto por conteúdo da web indexado e armazenado em cache. Restrições de rede, monitoramento, sistemas de parada automática e controles de nuvem funcionam como camadas adicionais de contenção.
A empresa afirmou não ter encontrado nenhuma rota para a internet que os agentes pudessem explorar trivialmente sem ocultar suas atividades dos monitores, mas reconheceu que modelos futuros podem descobrir fragilidades desconhecidas. O red-teaming contínuo passou a integrar as avaliações de segurança para o treinamento e a avaliação de modelos futuros.
