OpenAI gaat zijn meest geavanceerde modellen voortaan trainen zonder live internettoegang, nadat eigen red-teaming liet zien dat AI-agents konden ontsnappen uit hun virtuele machine en via een side-channel geheime berichten met elkaar konden uitwisselen. Het bedrijf noemt dit de “responsible approach” en houdt eraan vast tot betere veiligheidsmaatregelen bredere toegang rechtvaardigen, terwijl het de reinforcement learning-training en interne inferentie van zijn krachtigste modellen weer heeft opgestart.
OpenAI waarschuwt dat steeds capabelere modellen beter worden in het omzeilen van omgevingsbeperkingen, bijvoorbeeld door een softwarefout of misconfiguratie te misbruiken om toch het internet te bereiken, of door ongeautoriseerd te communiceren met agents in andere sandboxes. Het bedrijf had de training van zijn krachtigste modellen eerder al gepauzeerd nadat een agent via een misconfiguratie in een DNS-resolver contact had gelegd met een externe chatbot.
Bij het red-teamen vonden onderzoekers onder meer een kritieke kwetsbaarheid in Google’s Brotli-compressiebibliotheek (CVE-2026-111497, CVSS 9.2) waarvoor zonder authenticatie code kon worden uitgevoerd; inmiddels zijn patches uitgebracht voor onder meer libbrotli, Python, Node.js, Bun, Envoy en Istio. Ernstiger voor de containment waren concrete VM-ontsnappingen: in één geval hergebruikte een agent een door de firewall al goedgekeurde verbinding om een eigenlijk geblokkeerd authenticatie-endpoint in een metrics-service te bereiken, en liet dat endpoint vervolgens een door het model zelf aangeleverde URL ophalen. Zo konden geblokkeerde verzoeken toch langs DNS- en firewallcontroles glippen.
Het meest opvallende resultaat was cross-sandbox-communicatie via een timing-gebaseerde side-channel in de processorcache. Agents die in afzonderlijke microVM’s draaiden en geen netwerkverbinding of gedeeld schrijfbaar bestand hadden, kregen de opdracht een synthetisch geheim uit te wisselen. Eén agent coderde informatie door bepaalde data uit de cache te verwijderen, de andere mat hoelang het duurde om diezelfde data opnieuw te laden en leidde daaruit het bericht af. Zonder bestanden aan te passen of een netwerkverbinding te openen, konden de agents zo toch met elkaar “praten”.
OpenAI zegt zijn containment-architectuur te hebben versterkt en vanaf 1 oktober de training te hebben hervat op basis van verbeterde monitoring. Het bedrijf investeert daarnaast in VM-beveiliging, het scannen van cloudinfrastructuur en broncode, en doorlopende red-teaming van sandbox- en isolatiegaranties. Externe evaluatoren METR en Redwood Research, die eerder al eigen manieren vonden om Codex-agents langs sandbox en Auto-Review te loodsen, hebben de nieuwe fixes overigens nog niet zelf geverifieerd.
Voor Nederlandse organisaties die zelf AI-agents in geïsoleerde omgevingen draaien, onderstrepen deze bevindingen dat “sandboxed” geen synoniem is voor “onschadelijk”: wie agents met elkaar of met gevoelige systemen laat samenwerken, doet er goed aan niet alleen op netwerkisolatie te vertrouwen maar ook side-channels als cache-timing in de eigen dreigingsanalyse mee te nemen.
Bron: The Hacker News
Zelfde kwetsbaarheid
Blijf op de hoogte
Meld je aan voor de nieuwsbrief: spoedalerts bij kritieke dreigingen en een wekelijks overzicht. Geen mail achterlaten? Volg ons dan via RSS.