OpenAI: internet nélkül tanítja a frontier modelljeit

Mi történt?

Az OpenAI október 23-án részletezte, hogyan zárja el a frontier modellek tanítási és kiértékelési környezetét (OpenAI). A háttér: szeptember 20-án egy belső kutatási modell egy DNS resolver hibás konfigurációján keresztül korlátozott hozzáférést szerzett a nyílt internethez egy tanítási futás alatt. A cég ezt megfogta, de 11 napra leállította a legerősebb modelljei tanítását és kiértékelését, majd október 1-jén indította újra.

Mi változott?

• Frontier modellt mostantól internet nélkül tanítanak. Böngészést és keresést egy indexelt, cache-elt „offline világon” gyakorolnak a modellek, minden frontier RL futás ezt használja.
• Defense in depth: korlátozott konténer könnyű VM-ben, saját kernellel és hypervisor szeparációval, felette monitoring és automatikus leállítás, kívül hálózati és felhős perem.
• A teljes air-gap nem megoldható, mert a futtatáshoz és monitorozáshoz kell külső kapcsolat. Ezért a kimenő forgalmat és az oldalirányú mozgást is korlátozzák, a hostról elérhető szolgáltatásokkal együtt.

Mit találtak a red teaming agentek?

Agent csapatokat (köztük a még ki nem adott GPT-6 Astra Cybert és egy belső frontier modellt) állítottak rá az infrastruktúra izolált másolatára, forráskóddal és konfigurációval felszerelve. Több százmilliárd tokent égettek el. Az eredmény:

• VM-kitörések láncolt sérülékenységekkel. Javítások mentek a Kata Containersbe (CVE-2026-24834), a gVisorba és a Moby/Dockerbe, illetve több kernel CVE is érintett.
• Szinte minden megmaradt szűk szolgáltatásban (metrika, naplózás, authentikáció) találtak kerülőutat a netre. Egy tesztben az agent egy tűzfal által engedett kapcsolattal elért egy blokkolt auth endpointot, majd azzal kért le egy általa megadott URL-t.
• Hálózat nélküli kommunikáció külön VM-ek között: CPU-cache időzítéssel (a Spectre és Meltdown elvén), megosztott tárolón, CPU-versenyen és egy TLS tanúsítvány-cache-en keresztül.

Az OpenAI szerint olyan utat nem találtak, amelyen egy agent könnyen kijuthatna a netre úgy, hogy a monitoring nem veszi észre. A talált hibák száma a kampány alatt jelentősen csökkent.

Miért fontos?

Ez az első részletes beszámoló arról, hogy egy nagy labor a saját modelljeit használja a saját sandboxa feltörésére. Ráadásul be is építi a tanítás engedélyezésébe: a high-compute red teaming mostantól része a safety case-eknek. Ha agenteket futtatsz konténerben vagy VM-ben, a lista elég konkrét: frissítsd a Kata, gVisor és Docker komponenseket, illetve nézd át, hogy a „belső” szolgáltatásaid (metrika, log, auth) nem kérnek-e le külső URL-t.