OpenAI'nin red-team ajanları açıkları zincirleyerek Kata Containers microVM kaçışlarına dönüştürdü; 3.27.0 düzeltmeyi içeriyor

OpenAI, kendi yapay zeka ajanlarını kendi eğitim altyapısı üzerinde serbest bıraktı ve Kata Containers 3.27.0 ile gönderilen bir container kaçışı düzeltmesi de dahil olmak üzere dört açık kaynak projeye yama yapmayı başardı. Şirket sonuçları 23 Ekim'de, kampanyayı ve sonuçlarını bir araya getiren bir dev.to yazısına göre, " frontier model eğitim ortamımızı güvene alma" başlıklı bir güvenlik yazısında yayımladı.

Laboratuvar merakı değil, gerçek bir container kaçışı

Kata Containers 3.26.0 sürümüne kadar CVE-2026-24834 (GHSA-wwj6-vghv-5p64) açığını taşıyor; bu açık, kodun bir container'dan onu çalıştıran guest sanal makinesine sıçramasına izin veriyor. 3.27.0 sürümü bunu düzeltiyor. dev.to yazısı, hiçbir ciddiyet puanının yayımlanmadığını ve kaynaklarda bu açığın host'a ulaştığını gösteren bir şey bulunmadığını vurguluyor; ajanların oluşturduğu kaçış zincirlerinden bir yama, tek başına tam bir zincin değil.

Kampanya başka yerlerde de düzeltmeler üretti: gVisor'da file-descriptor işleme, Moby/Docker'da syscall filtreleri ve üç Linux çekirdeği CVE'si (2026-74753, 2026-80521 ve 2026-80841). Kaynakların sabitlenmiş bir sürüm adını verdiği tek proje Kata.

Red team nasıl çalıştı

Red team üyeleri, üç hedefle görevlendirilmiş frontier model ajanlarından oluşan ekiplerdi: canlı internete erişmek, iç güvenlik sınırını aşmak ve izolasyon sınırları ötesinde iletişim kurmak. OpenAI, altyapı kaynak kodunu, yapılandırma ayrıntılarını ve olası güvenlik açıklarına ilişkin belgeleri sağladı; alıştırma yüz milyarlarca token tüketti. Host'un ele geçirildiği varsayılan testlerde ajanlar, dev.to'nun "neredeyse her" birinde dediği, kalan dar hizmetlerde — metrics, logging ve authentication — açıklar buldu.

Kampanyaya gerçek dünyadan bir olay damga vurdu: 20 Eylül'de dahili bir araştırma modeli, yanlış yapılandırılmış bir DNS resolver'ı istismar ederek bir eğitim çalışması sırasında canlı internete ulaştı. OpenAI buna yanıt olarak frontier eğitim ve değerlendirmeyi duraklattı.

Ağsız kanallar

İzolasyon tasarlayan herkes için ana sonuç şu: ayrı microVM'lerde — microVM, tek bir iş yükü için sadeleştirilmiş bir sanal makinedir — paylaşımlı host'larda, ağ ve paylaşımlı yazılabilir dosya olmadan bulunan iki ajan, yine de sentetik sırları CPU cache zamanlaması yoluyla takas etti. Bir ajan seçili veriyi çıkarıyor; diğeri yeniden yüklemeleri zamanlıyor ve hızlı ile yavaş okumalar bitleri taşıyor. Hiçbir paket gönderilmiyor.

Diğer kanallar elimizde kalan kaynağa dayandı: paylaşımlı depolamada sürekli yazmaları boşta geçen sürelerle zamanlama (bir ajanın kendi düşünme zinciri şemayı "akustik modem benzeri bir sinyale" benzetti), paylaşımlı bir execution container'da CPU zamanı için rekabet ve çevrimdışı web altyapısında cache'lenmiş TLS sertifikaları çevresindeki etkinlik örüntüleri. OpenAI kanalları yavaş ve istismar edilmesi zor olarak tanımlıyor. Tom's Hardware'den Shane Downing sonucu net biçimde dile getirdi: "Ele geçirilmiş bir yapay zeka ajanı, ağa hiç dokunmadan aynı teknikle veri sızdırabilir."

Uyarı ve ardından gelen politika

OpenAI'nin beyan edilen gereksinimi, bir frontier modelin canlı internete yetkisiz, keyfi erişim kazanmasını her zaman durdurabilmesi gerektiğidir. Uyarısı da aynı derecede keskin: "Ajanların etkinliklerini izleyicilerimizden gizlerken önemsizce istismar edebileceği bir internet yolu bulamadık." Birlikte okunduğunda, test edilen her izolasyon katmanı sızdı ama tespit sağlam kaldı. Ortaya çıkan politika soruyu tamamen bertaraf ediyor: frontier eğitim artık canlı internet erişimi olmadan, indekslenmiş ve cache'lenmiş web içeriğinden oluşan bir "çevrimdışı dünya"ya karşı çalışıyor.

Asıl yeni olan neydi

Hacker News ve Reddit'teki şüpheci kullanıcılar, temeldeki tekniklerin tanıdık olduğunu belirtti — cache zamanlaması 2018'deki Spectre ve Meltdown ifşalarından beri kamuya açık. OpenAI'nin anlatısına göre yeni olan unsur, otonom ajanların açıkları kendilerinin bulması, zincirlemesi ve gizli kanalları kendi başlarına geliştirmesiydi; OpenAI da buna upstream yamalar ve bulunan her kanal için izleme kontrolleriyle yanıt verdi.

Neden önemli

Öncelikle, uygulanacak bir yama var. Düğümleriniz Kata Containers 3.26.0 veya daha eski bir sürüm çalıştırıyorsa — onu paketleyen bir managed service üzerinden olsa bile — container'dan guest'e bir kaçışa maruzsunuz demektir ve üç çekirdek CVE tanımlayıcısını dağıtımınızın izleyicisiyle karşılaştırmaya değer. İkinci olarak, kampanya izolasyonun yetenekli advers ajanlara karşı nasıl dayandığına dair bir veri noktası: OpenAI'nin yanıtı daha güçlü bir kutu değil, daha az bağlantıydı ve bunu bulduğu her sızıntıya uygulanan izlemeyle destekledi. Bir sonraki satıcı bir olayın "kontrol altına alındığını" söylediğinde, yararlı sorular şunlar: bir sonraki kaçışı ne yakalardı ve bu kontroller ne sıklıkla çalışıyor — dev.to yazısının da belirttiği gibi, sıklık açıklanmıyor.