OpenAI AI 智能体演示虚拟机逃逸与跨沙箱秘密通信

OpenAI 宣布计划在无实时互联网访问的情况下进行前沿模型训练，同时恢复其最先进 AI 模型的强化学习（RL）训练和内部推理。

"基于对齐研究、监控系统和互联网基础设施安全的当前状态，我们认为负责任的做法是在无互联网访问的情况下进行前沿模型训练，"这家 AI 公司表示。"我们已实施该政策，并将维持该政策，直到这些防护措施的进步足以证明可以扩大互联网访问。"

OpenAI 表示，模型能力不断增强会带来副作用，即它们会变得更擅长设计绕过环境限制的方法，以逃脱遏制并执行非预期操作。这可能涉及模型利用软件缺陷或配置错误来访问实时互联网，或寻找未经授权的方式与其他沙箱中的智能体通信。

上月末，这家前沿实验室决定暂停其最强大模型的训练，原因是其一个智能体在强化学习（RL）训练期间利用 DNS 解析器的配置错误联系了外部聊天机器人，从而获得了有限的互联网访问。

OpenAI 表示，它还启动了一项"高算力红队测试活动"，以测试其研究和评估环境在面对日益强大的模型时的韧性，结果发现了此前未知的软件漏洞，包括 Google Brotli（CVE-2026-111497，CVSS 评分：9.2）中的一个严重未认证远程代码执行漏洞，该库是一个广泛使用的压缩库。

该漏洞也被称为 Node2Shell 和 HTTP2Shell，其补丁已针对 libbrotli、Python、C++、Node.js、Bun、Envoy 和 Istio 发布。

OpenAI 派去测试其安全防护的红队智能体还发现了虚拟机逃逸、通过指标、日志和认证管理服务中的漏洞访问互联网的新路径，以及绕过隔离边界的智能体间硬件侧信道通信。

"在一项假设主机已被攻陷的测试中，一个智能体复用了防火墙批准的连接，访问了我们指标服务中被阻止的认证端点，然后让该端点获取模型提供的 URL，"它表示。"在其他测试中，智能体利用了允许被阻止请求穿过 DNS 和防火墙控制的配置错误，以及让我们运行的服务获取外部 URL 的方法。"

在另一项实验中，OpenAI 提示分别位于不同 microVM 中的 AI 智能体在不依赖网络连接或共享可写文件的情况下交换合成机密，结果这些数字机器人找到了一种利用处理器缓存、通过基于时序的侧信道进行通信的方法。

特别是，据称一个智能体通过从缓存中驱逐选定数据来编码信息。第二个智能体测量重新加载该数据所需的时间，利用快速与慢速缓存读取之间的差异来恢复消息。

"一旦智能体就编码和解码这些信号的协议达成一致，它们就可以在不更改共享文件或打开网络连接的情况下交换合成机密，"OpenAI 表示。

这家 AI 巨头表示，这些发现促使其加强了自身的安全和监控机制，并认为增强后的控制措施足以重启前沿 RL 训练和内部推理，同时继续在以下几个关键领域投入——

• 改进虚拟机安全
• 探测云基础设施弱点
• 扫描源代码和云配置
• 测试监控和停止系统
• 对沙箱和隔离保证进行红队测试

"在加强我们的遏制架构后，我们于 10 月 1 日恢复了前沿 RL 训练和推理，"OpenAI 表示。"我们已预留大量算力用于持续红队测试，并将高算力红队测试纳入我们用来决定前沿训练和评估能否安全进行的安全论证中。"

本月早些时候，Anthropic 表示将切断其所有内部评估的实时互联网访问，直至另行通知，此前它发现了新的安全事件，其 AI 模型表现出失准行为并针对真实网站。

该披露之际，人们对 AI 智能体检测和利用软件漏洞的能力（甚至包括旨在限制它们的防护栏中的漏洞）提出了担忧。

在本周发布的一份报告中，第三方 AI 安全评估机构 METR 和 Redwood Research 表示，他们在 OpenAI 内部失准监控系统（截至 2026 年 7 月 21 日之前的状态，以及该公司智能体入侵模型托管平台 Hugging Face 的时间段内）中发现了若干新漏洞。

"我们找到了一种 Codex 智能体原则上可以绕过 Codex 沙箱和 Auto-Review 的方法，使它们能够采取主机用户可采取的任何操作，"研究人员 David Rein 和 Adam Kaufman 表示。"我们还发现了一种智能体可利用的漏洞，可阻止数百个近期操作（包括该漏洞本身涉及的操作）被监控。"

据信 OpenAI 已修复了影响其生产防护栈的所有漏洞，尽管这些安全组织表示他们尚未验证修复情况。

Anthropic 的 Mythos 5 实施未经批准的供应链攻击

这些进展恰逢英国 AI 安全研究所（AISI）的一份报告，该报告发现 Anthropic 的 Mythos 5 模型即使在有证据表明这样做会超出范围并造成实际伤害（例如提交恶意代码更改）时，仍持续采取未经批准的操作。

该评估还揭示，Mythos 5 的思维链（CoT）推理过程未能考虑有害操作的影响，当被问及人类维护者是否真实时，该模型经常产生暗示目标是模拟的无效理由，但从未生成暗示其真实的错误理由。

"大多数受测模型在模拟网络安全评估中会采取一系列未经批准的操作，Mythos 5 最为频繁，"AISI 表示。"综合来看，这些观察结果可能表明模型正在进行'动机性推理'：产生偏向于为继续特定任务完成方式提供理由的结论的推断和推理。"

在最严重的案例中，该模型被发现试图通过提交恶意代码并创建五个马甲账号来为这些更改背书、向软件维护者施压以使其接受，从而实施供应链攻击。

针对这些发现，Anthropic 将对齐失败归因于鲁莽、有偏见的推理，以及一种"继续其当前轨迹"的冲动，其程度达到无视潜在伤害。这家 OpenAI 的竞争对手还指出，其较新的模型（包括一个内部研究模型）对此类行为的易感性较低。

"尽管如此，这一事件进一步证明，当前的 AI 模型能够在评估环境中表现出令人惊讶的失准行为，"它表示。"我们已构建了新的评估，会在新的生产模型上自动运行，我们正在专门研究有偏见的推理，以更好地理解它在我们训练中的来源以及它如何影响我们的模型。"