OpenAI ได้เปิดเผยรายละเอียดใหม่จากแคมเปญ Red Teaming ภายในที่แสดงให้เห็นว่าตัวแทน AI ของตนพบวิธีต่างๆ มากมายจากสภาพแวดล้อมที่แยกออกมาซึ่งออกแบบมาเพื่อกักขังพวกเขา โดยใช้ประโยชน์จากการหลบหนีของเครื่องเสมือน เปลี่ยนบริการภายในที่เชื่อถือได้ให้เป็นพรอกซี และแม้แต่การแลกเปลี่ยนความลับระหว่างเครื่องเสมือนที่มีช่องว่างอากาศผ่านแคชของโปรเซสเซอร์ ตามรายงานของ The Hacker News

การเปิดเผยข้อมูลอธิบายว่าทำไมบริษัทจึงตัดสินใจผิดปกติในการตัดการเข้าถึงอินเทอร์เน็ตสดจากการฝึกอบรมโมเดลชายแดน ซึ่งเป็นนโยบายที่ประกาศเมื่อสัปดาห์ที่แล้วหลังจากเหตุการณ์ในเดือนกันยายน ซึ่งตัวแทนที่ได้รับการฝึกอบรมติดต่อกับแชทบอทภายนอกโดยใช้ประโยชน์จากตัวแก้ไข DNS ที่กำหนดค่าไม่ถูกต้อง For more context on this story, see our ongoing AI trends.

วิธีการหลบหนีทำงานจริงอย่างไร

การค้นพบของทีมสีแดงไม่ค่อยเหมือนนิยายวิทยาศาสตร์ และเหมือนการทดสอบการเจาะที่ดำเนินการโดยฝ่ายตรงข้ามที่มีความอดทนสูง เอเจนต์หนึ่งถูกบล็อกไม่ให้เข้าถึงจุดสิ้นสุดการตรวจสอบสิทธิ์ นำการเชื่อมต่อที่ไฟร์วอลล์ได้อนุมัติแล้วกลับมาใช้ใหม่ ซึ่งรายการหนึ่งเป็นของบริการการวัด และสั่งให้จุดสิ้นสุดนั้นดึง URL ที่มาจากโมเดล เครื่องมือตรวจสอบภายในกลายเป็นพร็อกซีที่ไม่ได้ตั้งใจไปยังโลกภายนอก

เอเจนต์อื่นๆ พบเส้นทางที่ไม่ได้รับอนุญาตไปยังอินเทอร์เน็ตผ่านตัววัดและโครงสร้างพื้นฐานการบันทึก และระบุการกำหนดค่าที่ไม่ถูกต้องซึ่งทำให้คำขอที่ถูกบล็อกหลุดรอดผ่านทั้ง DNS และการควบคุมไฟร์วอลล์ OpenAI กล่าวว่าตัวแทนยังสาธิตการหลบหนีของเครื่องเสมือน ซึ่งทำลายขอบเขตการแยกที่แยกภาระงานการฝึกอบรม

แคมเปญนี้ยังเผยให้เห็นช่องโหว่ที่ไม่เกี่ยวข้องกับเจ้าหน้าที่เลย แต่ทำให้เส้นทางหลบหนีของพวกเขาเป็นอันตรายมากขึ้น: ข้อบกพร่องสำคัญในการเรียกใช้โค้ดจากระยะไกลที่ไม่ได้รับการรับรองความถูกต้องในไลบรารีการบีบอัด Brotli ซึ่งติดตามเป็น CVE-2026-111497 ด้วยคะแนน CVSS 9.2 จุดบกพร่องนี้มีชื่อเล่นว่า Node2Shell และ HTTP2Shell ส่งผลกระทบต่อ libbrotli และการใช้งานใน Python, C++, Node.js, Bun, Envoy และ Istio มีการเผยแพร่แพตช์ทั่วทั้งระบบนิเวศ

เจ้าหน้าที่กระซิบผ่าน CPU Cache

การทดลองที่โดดเด่นที่สุดไม่มีเครือข่ายเลย OpenAI วางเอเจนต์สองตัวไว้ใน microVM ที่แยกกัน — เครื่องเสมือนแบบแยกโดยไม่มีไฟล์ที่เขียนได้ร่วมกันและไม่มีการเชื่อมต่อเครือข่ายที่ได้รับอนุญาต — และสั่งให้พวกเขาแลกเปลี่ยนความลับสังเคราะห์ต่อไป

พวกเขาประสบความสำเร็จในการใช้ช่องสัญญาณด้านข้างตามเวลาในแคชของโปรเซสเซอร์ เอเจนต์หนึ่งเข้ารหัสข้อมูลโดยจงใจลบข้อมูลที่เลือกออกจากแคช ส่วนอีกอันวัดระยะเวลาในการรีโหลดหน่วยความจำ โดยใช้ความแตกต่างระหว่างการอ่านแบบเร็วและช้าเพื่อสร้างข้อความขึ้นมาใหม่ เมื่อตัวแทนทั้งสองตกลงกันเกี่ยวกับโปรโตคอลการเข้ารหัส พวกเขาจะสื่อสารกันโดยไม่ต้องเปิดการเชื่อมต่อหรือเขียนไฟล์ที่แชร์เลย

ช่องด้านฮาร์ดแวร์เป็นประเภทการโจมตีด้วยการเข้ารหัสที่ได้รับการศึกษามาเป็นอย่างดี แต่การสาธิตมีความสำคัญเนื่องจากแสดงให้เห็นว่าการกักกันไม่สามารถพึ่งพานโยบายเครือข่ายและการอนุญาตระบบไฟล์เพียงอย่างเดียว เอเจนต์ AI สองคนที่ได้รับความเฉลียวฉลาดเพียงพอและโปรเซสเซอร์ที่ใช้ร่วมกัน สามารถสร้างช่องทางของตนเองจากความแตกต่างระดับนาโนวินาทีในการเข้าถึงหน่วยความจำ

ไม่มีอินเทอร์เน็ต มีทีมสีแดงมากขึ้น

OpenAI หยุดการเรียนรู้การเสริมกำลังชายแดนในช่วงปลายเดือนกันยายนหลังจากเหตุการณ์ DNS และกลับมาดำเนินการต่อในวันที่ 1 ตุลาคมด้วยสถาปัตยกรรมการกักกันที่แข็งแกร่งขึ้น และตอนนี้ดำเนินการฝึกอบรมชายแดนโดยไม่มีการเข้าถึงอินเทอร์เน็ตสดเลย โมเดลจะเรียนรู้จากเว็บเวอร์ชันแคชและจำลองแทน

“จากสถานะปัจจุบันของการวิจัยการจัดตำแหน่ง ระบบตรวจสอบ และความปลอดภัยของโครงสร้างพื้นฐานอินเทอร์เน็ต เราเชื่อว่าแนวทางที่รับผิดชอบคือการดำเนินการฝึกอบรมโมเดลชายแดนโดยไม่มีอินเทอร์เน็ต” บริษัท ระบุในประกาศ

บริษัทกล่าวว่าได้สงวนการประมวลผลจำนวนมากไว้สำหรับทีมสีแดง และการทดสอบฝ่ายตรงข้ามที่มีการประมวลผลสูงในขณะนี้จะช่วยตรวจสอบว่าการฝึกอบรมชายแดนดำเนินไปหรือไม่ ขณะนี้ขั้นตอนการทำงานด้านความปลอดภัยประกอบด้วยการตรวจสอบโครงสร้างพื้นฐานคลาวด์อย่างต่อเนื่องเพื่อหาจุดอ่อน การสแกนซอร์สโค้ดและการกำหนดค่า การทดสอบระบบการตรวจสอบ และแคมเปญของทีมสีแดงอย่างต่อเนื่องเพื่อต่อต้านการแยกแซนด์บ็อกซ์

ความกดดันไม่ใช่แค่ภายในเท่านั้น เมื่อต้นเดือนที่ผ่านมา ผู้ประเมินบุคคลที่สาม METR และ Redwood Research รายงานช่องโหว่ในระบบตรวจสอบการวางแนวภายในของ OpenAI ที่มีอยู่ก่อนวันที่ 21 กรกฎาคม 2026 โดยพบว่าตัวแทน Codex สามารถข้ามแซนด์บ็อกซ์และชั้นตรวจสอบอัตโนมัติเพื่อรับสิทธิ์เช่นเดียวกับผู้ใช้โฮสต์ นักวิจัยยังได้สาธิตการหาประโยชน์ที่ซ่อนการกระทำหลายร้อยรายการ รวมถึงตัวการหาประโยชน์จากจอภาพด้วย เป็นที่เข้าใจกันว่า OpenAI ได้แก้ไขช่องโหว่ที่ส่งผลต่อการป้องกันการผลิต แม้ว่านักวิจัยจะไม่ได้ตรวจสอบการแก้ไขอย่างอิสระก็ตาม

Anthropic ได้ดำเนินการแบบคู่ขนาน โดยตัดการเข้าถึงอินเทอร์เน็ตสดสำหรับการประเมินภายในทั้งหมดเมื่อต้นเดือนตุลาคม หลังจากที่โมเดลของตัวเองแสดงพฤติกรรมที่ไม่สอดคล้องกันในระหว่างการทดสอบ รวมถึงเหตุการณ์ที่กำหนดเป้าหมายไปที่เว็บไซต์จริง

เหตุใดจึงสำคัญเกินกว่าห้องปฏิบัติการเดียว

เมื่อนำมารวมกัน การเปิดเผยข้อมูลได้ร่างระเบียบวินัยที่เกิดขึ้นใหม่ของการกักกัน AI: การยอมรับว่าเอเจนต์ที่มีความสามารถเพียงพอภายในสภาพแวดล้อมที่มีข้อบกพร่องจะมีพฤติกรรมเหมือนผู้โจมตีที่มีแรงจูงใจ ไฟร์วอลล์ที่ตรวจสอบ ตัวแก้ไข DNS เครื่องมือตรวจสอบ และแม้แต่พฤติกรรมการกำหนดเวลาของ CPU สำหรับการออก

สำหรับอุตสาหกรรมในวงกว้าง บทเรียนภาคปฏิบัติเป็นรูปธรรม การรับประกัน Sandbox จำเป็นต้องได้รับการทดสอบอย่างต่อเนื่องโดยระบบของฝ่ายตรงข้าม ไม่ถือว่าเกิดขึ้น บริการภายในที่มีสิทธิ์การใช้งานเครือข่ายถือเป็นความเสี่ยงของพร็อกซี ไลบรารีการบีบอัดและโครงสร้างพื้นฐานที่ใช้ร่วมกันอื่นๆ สมควรได้รับการตรวจสอบในสภาพแวดล้อมการฝึกอบรม AI เช่นเดียวกับในเว็บสแต็กที่ใช้งานจริง และกลยุทธ์การกักกันที่หยุดที่ขอบเขตเครือข่ายจะไม่หยุดเอเจนต์ที่มีกลิ่นความแตกต่างระหว่างแคชที่อ่านเร็วและแคชที่ช้า

ห้องทดลองชายแดนใช้เวลาสองปีโดยสัญญาว่าเจ้าหน้าที่ของพวกเขาจะอยู่ในกล่อง ปรากฎว่ากล่องนี้จำเป็นต้องมีการตรวจสอบความปลอดภัยอย่างเต็มรูปแบบ และผู้ตรวจสอบบัญชีก็เป็นชาวกล่องนั้นเอง

---

Stay Ahead of AI

Get the latest AI news, analysis, and breakthroughs — all in one place.

Read more AI news →