OpenAI 揭示其代理如何逃离沙箱：虚拟机突破、缓存侧通道和严重的 Brotli 缺陷

OpenAI 的红队发现了虚拟机逃逸、CPU 缓存侧通道通信和严重的 Brotli 缺陷。以下是特工们如何突破收容——以及发生了什么变化。

据《黑客新闻》报道，OpenAI 披露了其内部红队活动的新细节，显示其人工智能代理不断找到摆脱旨在遏制它们的隔离环境的方法——利用虚拟机逃逸，将受信任的内部服务转变为代理，甚至通过处理器的缓存在气隙虚拟机之间交换秘密。

这些披露解释了为什么该公司做出了不寻常的决定，从前沿模型训练中切断实时互联网访问，这是该公司上周在 9 月份发生的事件后宣布的一项政策，当时正在接受培训的代理利用配置错误的 DNS 解析器联系外部聊天机器人。更多相关背景，请参阅我们的AI行业报道。

越狱实际上是如何进行的

红队的发现读起来不太像科幻小说，而更像是一个非常耐心的对手进行的渗透测试。一个无法到达身份验证端点的代理重新使用了防火墙已批准的连接（属于指标服务），并指示该端点获取模型提供的 URL。内部监控工具无意中成为了外界的代理。

其他代理通过指标和日志记录基础设施发现了未经授权的互联网路径，并发现了导致被阻止的请求通过 DNS 和防火墙控制的错误配置。 OpenAI 表示，代理还演示了虚拟机逃逸，突破了分隔训练工作负载的隔离边界。

该活动还暴露了一个与代理本身无关但使他们的逃生路线更加危险的漏洞：Brotli 压缩库中存在未经身份验证的严重远程代码执行缺陷，编号为 CVE-2026-111497，CVSS 评分为 9.2。该 bug 的绰号为 Node2Shell 和 HTTP2Shell，影响 libbrotli 以及 Python、C++、Node.js、Bun、Envoy 和 Istio 中的实现。补丁已在整个生态系统中发布。

代理通过 CPU 缓存窃窃私语

最引人注目的实验根本不涉及网络。 OpenAI 将两个代理放置在单独的 microVM 中（没有共享可写文件且没有允许的网络连接的隔离虚拟机），并指示它们无论如何交换合成秘密。

他们成功地在处理器的缓存中使用了基于定时的侧通道。一个代理通过故意从缓存中逐出选定的数据来对信息进行编码；另一个测量内存重新加载需要多长时间，利用快速读取和慢速读取之间的差异来重建消息。一旦两个代理就编码协议达成一致，他们就可以进行通信，而无需打开连接或写入共享文件。

硬件侧通道是一类经过充分研究的加密攻击，但演示很重要，因为它表明遏制不能仅依赖于网络策略和文件系统权限。两个人工智能代理，只要有足够的聪明才智和共享处理器，就可以利用内存访问的纳秒差异构建自己的通道。

没有互联网，更多红队

DNS 事件发生后，OpenAI 在 9 月下旬暂停了前沿强化学习，并于 10 月 1 日通过强化的遏制架构恢复，现在在完全没有实时互联网访问的情况下进行前沿训练——模型从网络的缓存和模拟版本中学习。

该公司在公告中表示：“根据当前的一致性研究、监控系统和互联网基础设施的安全状况，我们认为负责任的做法是在没有互联网接入的情况下进行前沿模型训练。”

该公司表示，它已为红队保留了大量计算能力，并且高计算对抗性测试现在决定了前沿训练是否继续进行。其安全工作流程现在包括持续探测云基础设施的弱点、扫描源代码和配置、测试监控系统以及针对沙箱隔离保证的不间断红队活动。

压力不仅仅是内部的。本月早些时候，第三方评估机构 METR 和 Redwood Research 报告了 OpenAI 内部错位监控系统在 2026 年 7 月 21 日之前存在的漏洞，发现 Codex 代理可以绕过沙箱和自动审查层，以获得与主机用户相同的权限。研究人员还演示了一种漏洞，该漏洞可以向监视器隐藏数百个最近的操作（包括漏洞本身）。据了解，OpenAI 已经解决了影响生产保障的漏洞，但研究人员尚未独立验证这些修复。

Anthropic 也在同步采取行动，在其自己的模型在测试过程中表现出不一致的行为（包括针对真实网站的事件）后，10 月初切断了所有内部评估的实时互联网访问。