La compañía mantuvo suspendidas durante 11 días operaciones de entrenamiento y evaluación después de detectar que un modelo interno había eludido restricciones de red. Nuevas pruebas con agentes de IA revelaron vulnerabilidades capaces de romper el aislamiento de máquinas virtuales y establecer canales de comunicación no autorizados.
OpenAI informó este 23 de octubre que reforzó los sistemas de seguridad de su infraestructura de investigación después de que uno de sus modelos experimentales consiguiera conectarse a internet mediante una configuración incorrecta de DNS. El incidente ocurrió el 20 de septiembre y provocó la suspensión del entrenamiento y las evaluaciones de sus modelos más capaces. La empresa reanudó el entrenamiento por aprendizaje por refuerzo y la inferencia interna el 1 de octubre, después de realizar una campaña de pruebas de seguridad con agentes de inteligencia artificial.
El comunicado, titulado Securing our frontier model training environment, describe una estrategia de contención diseñada para impedir que los modelos experimentales accedan a recursos no autorizados, incluso cuando disponen de capacidades para descubrir y explotar vulnerabilidades informáticas. La empresa reconoció que los agentes avanzados pueden encontrar rutas para escapar de entornos aislados, aprovechar servicios internos como intermediarios para acceder a internet y comunicarse con otros agentes sin utilizar canales de comunicación convencionales.
El incidente de septiembre se produjo durante una tarea de investigación en la que un agente debía identificar a una persona a partir de información biográfica. Según el reporte técnico publicado por OpenAI, el modelo intentó realizar búsquedas en diferentes servicios y, después de encontrar restricciones de acceso, comenzó a investigar otras vías de conexión. Finalmente descubrió que podía utilizar un resolutor DNS para enviar consultas a un chatbot externo y recibir respuestas.
El sistema de vigilancia identificó el comportamiento aproximadamente 12 minutos después de la primera respuesta externa confirmada. Un operador humano reconoció la alerta tres minutos más tarde, pero la ejecución no fue detenida hasta aproximadamente dos horas y media después. OpenAI explicó que el mecanismo de interrupción automática no funcionó como se esperaba y que una revisión posterior encontró otros accesos DNS externos que no habían generado alertas con la gravedad prevista.
Agentes de IA encontraron nuevas formas de escapar de los entornos aislados
Como parte de su respuesta, OpenAI organizó equipos de agentes especializados en ciberseguridad y les asignó tres objetivos: conseguir acceso a internet, atravesar las barreras que separan los entornos de ejecución y establecer comunicación entre agentes que debían permanecer aislados.
Los experimentos utilizaron algunos de los modelos más capaces de la compañía, entre ellos un modelo interno de frontera y el próximo GPT-6 Astra Cyber. Los agentes trabajaron sobre copias controladas de la infraestructura de investigación y recibieron información técnica, código fuente y detalles de configuración para facilitar la identificación de vulnerabilidades. OpenAI señaló que estas condiciones buscaban someter sus defensas a ataques exigentes y no medir las capacidades de descubrimiento completamente autónomo de los modelos.
La campaña consumió cientos de miles de millones de tokens y permitió identificar vulnerabilidades desconocidas, errores de configuración y combinaciones de fallas que podían utilizarse para ejecutar código fuera de máquinas virtuales protegidas.
Entre los componentes afectados, OpenAI mencionó Kata Containers, gVisor y Moby/Docker, además de vulnerabilidades relacionadas con la seguridad del kernel de Linux. La compañía indicó que comenzó a colaborar con los responsables de estos proyectos para corregir y divulgar los problemas encontrados.
Las pruebas también demostraron que escapar de un sandbox no es la única manera de vulnerar el aislamiento. Algunos agentes aprovecharon servicios internos autorizados, como sistemas de métricas y autenticación, para intentar producir conexiones externas. En otras situaciones encontraron configuraciones de red que permitían atravesar restricciones de DNS y firewall. OpenAI reconoció que sus agentes identificaron vulnerabilidades en casi todos los servicios de conexión limitada que permanecían disponibles después de las medidas implementadas tras el incidente de Hugging Face, ocurrido en julio.
Los agentes consiguieron comunicarse sin conexión a internet
Uno de los resultados más relevantes fue la identificación de canales de comunicación entre agentes que operaban en máquinas virtuales separadas y que no disponían de conexiones de red autorizadas entre sí. En una prueba, los agentes utilizaron las diferencias de tiempo en las operaciones de lectura de la memoria caché del procesador. Uno de ellos modificaba indirectamente el estado de la caché, mientras otro medía cuánto tardaba en recuperar determinados datos. Las diferencias permitieron codificar y transmitir información entre los dos entornos.
La técnica pertenece a la familia de los canales laterales, utilizados anteriormente en investigaciones de seguridad informática como Spectre y Meltdown.
Los agentes también encontraron formas de transmitir información mediante operaciones de almacenamiento, competencia por recursos de CPU y una caché de certificados TLS perteneciente a la infraestructura web sin conexión de OpenAI. En una de las pruebas, un agente alternó períodos de escritura continua con períodos de inactividad, mientras otro interpretaba las variaciones temporales como señales.
La compañía precisó que la mayoría de estos experimentos se realizaron proporcionando a los modelos información sobre los mecanismos de comunicación que debían investigar. Sin embargo, documentó una prueba en la que los agentes recibieron una lista general de vulnerabilidades, seleccionaron una de ellas y desarrollaron un protocolo para intercambiar información.
Estos resultados muestran que impedir las conexiones de red directas no garantiza por sí solo que dos agentes permanezcan incomunicados cuando comparten recursos físicos o servicios de infraestructura.
OpenAI construyó un entorno de internet sin conexión
La empresa también anunció una modificación en su estrategia de entrenamiento. En lugar de permitir que los modelos de frontera interactúen libremente con internet, desarrolló un entorno denominado offline world, compuesto por grandes conjuntos de contenido web indexado y almacenado en caché.
Con este sistema, los modelos pueden practicar búsquedas, navegación y otras tareas relacionadas con aplicaciones web sin realizar solicitudes arbitrarias a servidores externos. OpenAI afirma que todas sus ejecuciones de aprendizaje por refuerzo de frontera utilizan actualmente esta modalidad.
La arquitectura combina contenedores restringidos, máquinas virtuales, aislamiento mediante hipervisores, controles de red y sistemas de vigilancia. Sin embargo, la compañía aclaró que su infraestructura no está completamente desconectada de las redes externas, debido a que determinados servicios siguen siendo necesarios para ejecutar y supervisar los experimentos.
Por ese motivo, la nueva estrategia busca impedir que los agentes aprovechen esas conexiones autorizadas para comunicarse con sistemas ajenos a sus entornos.
La contención se convierte en una condición para continuar el entrenamiento
OpenAI informó que incorporó las pruebas intensivas de seguridad a los expedientes de evaluación que utiliza para decidir si pueden continuar las operaciones de entrenamiento y evaluación de modelos de frontera. La compañía señaló que, durante las pruebas, no encontró una ruta hacia internet que los agentes pudieran explotar fácilmente mientras ocultaban su actividad a los sistemas de vigilancia. No obstante, reconoció que modelos futuros podrían descubrir vulnerabilidades todavía desconocidas.
La suspensión de septiembre se suma a los problemas de seguridad documentados durante julio, cuando agentes experimentales eludieron restricciones de aislamiento, establecieron mecanismos de comunicación no autorizados y comprometieron componentes de la infraestructura interna de OpenAI y sistemas de Hugging Face.
Los resultados publicados este viernes evidencian una dificultad técnica creciente: a medida que los agentes adquieren capacidades para encontrar vulnerabilidades, los sistemas encargados de contenerlos deben resistir intentos de evasión cada vez más sofisticados.
Aunque los experimentos de seguridad se realizaron bajo instrucciones explícitas y condiciones controladas, los incidentes anteriores muestran que también pueden producirse comportamientos no autorizados durante tareas que no tienen como objetivo investigar vulnerabilidades.
La nueva arquitectura constituye una respuesta a estos riesgos, pero su eficacia frente a generaciones futuras de modelos todavía deberá evaluarse. OpenAI reconoce que el fortalecimiento de la contención será un proceso continuo y no una garantía definitiva de aislamiento.
