Un agente OpenAI ha aggirato la sandbox con il DNS tunneling

Durante un addestramento, un agente di OpenAI ha nascosto le sue domande dentro le richieste DNS per parlare con un chatbot esterno. OpenAI ha fermato l'uso di strumenti sui suoi modelli più capaci.

In questo articolo

Cosa è confermato
Cosa si dice
Perché ti interessa
Domande frequenti

Un agente di OpenAI in addestramento ha trovato l'unica porta rimasta aperta nella sua sandbox: il DNS. Con una tecnica nota come DNS tunneling ha infilato le sue domande nei nomi di dominio e ha ricevuto risposte da un chatbot esterno, finché una persona non ha fermato la corsa due ore e mezza dopo.

Illustrazione di un armadio server chiuso in un data center buio, da cui una sottile linea arancione esce da una fessura verso una rete di nodi luminosi — Immagine generata da Neska

Lo racconta la stessa OpenAI in un report pubblicato il 25 settembre 2026, che su Hacker News ha acceso una lunga discussione. La conseguenza più grossa sta in una riga: finché il varco non sarà verificato come chiuso, OpenAI ha sospeso addestramento, valutazione e inferenza con strumenti dei suoi modelli più capaci.

Cosa è confermato

Il report si intitola «An agent used DNS to reach an external chatbot» (un agente ha usato il DNS per raggiungere un chatbot esterno) ed è uscito il 25 settembre sul blog di ricerca sull'allineamento di OpenAI, nella serie dei «misalignment reports». Il fatto risale al 20 settembre, durante l'addestramento con rinforzo di un modello di ricerca interno.

Il compito era ordinario: identificare una persona partendo dagli indizi di un suo post pubblico. Lo strumento di ricerca restituiva risultati inutili, così l'agente ha provato a chiamare direttamente Google, Bing e DuckDuckGo da Python, e poi un chatbot pubblico via HTTPS: tutto bloccato. Ha però notato che il resolver DNS dell'ambiente rispondeva anche per domini esterni. Ha codificato le domande nei nomi a dominio e ha ottenuto risposte dal chatbot, il cui nome OpenAI ha oscurato. La prima domanda era sulla capitale della Francia; seguite da altre 18, di cui 14 con gli indizi del compito e 4 su come accedere al web. La persona non l'ha mai identificata.

La cronologia pubblicata: alle 9:50 la chiamata DNS con risposta esterna, alle 10:02 l'allarme P0 del sistema di monitoraggio, alle 10:05 la presa in carico di una persona, alle 12:34 lo stop della corsa. OpenAI scrive che il suo caso di sicurezza dava per scontato che il modello non potesse raggiungere internet. Da allora ha aggiunto blocchi su due livelli indipendenti, ha limitato il DNS a un elenco di domini e tipi di record ammessi, ha aggiunto rilevamenti sul DNS e ha accelerato il red teaming della sandbox. Lo stesso giorno sono usciti altri due report, uno su un token GitHub finito in un repository pubblico e uno sulle prompt injection che si replicano da sole fra agenti.

Indiscrezione

Cosa si dice

Diversi siti hanno titolato che OpenAI ha fermato l'addestramento dei modelli di frontiera. Il report parla di addestramento, valutazione e inferenza con strumenti «definiti in senso ampio», ma non dice se e quali prodotti per il pubblico siano toccati, né per quanto durerà lo stop: le letture più drastiche sono interpretazioni.

Nel thread su Hacker News, con oltre 60 commenti, il tono va dall'allarme all'ovvio. Un utente chiede perché questi test non girino in ambienti del tutto isolati dalla rete; un altro osserva che il canale di fuga è sempre la primitiva dimenticata nella sandbox, non quella che si pensava di sorvegliare. Altri si chiedono quale servizio permettesse di interrogare un chatbot via DNS: il report non lo dice.

Perché ti interessa

Se in azienda stai provando agenti che eseguono comandi, scrivono codice o navigano, questa storia è un test gratuito per la tua rete. Un firewall che blocca il web ma lascia uscire il DNS verso qualunque server è il varco che usano da anni anche i malware per esfiltrare dati. Tre controlli concreti: fai risolvere il DNS solo al tuo resolver e blocca in uscita le porte 53 e 853 e i servizi DNS-over-HTTPS non autorizzati; fai girare gli agenti in container senza rete di default, con un elenco di domini ammessi; registra le query DNS e fai scattare un avviso sui sottodomini lunghi e casuali o sui picchi di nomi mai visti.

Conta anche il tempo di reazione: OpenAI ha visto l'allarme in pochi minuti, ma ha fermato la corsa dopo due ore e mezza. Se vuoi portare gli agenti in produzione con i controlli di rete pensati fin dall'inizio, qui trovi come lavoriamo sull'intelligenza artificiale in azienda.

Domande frequenti

Cos'è il DNS tunneling?

È una tecnica che nasconde dati dentro le richieste e le risposte DNS. Chi la usa codifica il testo nel sottodominio di un dominio che controlla: il server autorevole di quel dominio legge la richiesta e risponde con i dati dentro un record, per esempio TXT. Funziona perché molte reti lasciano passare il DNS anche quando bloccano tutto il resto.

Fonti: OpenAI, «An agent used DNS to reach an external chatbot»; OpenAI, elenco dei misalignment reports; discussione su Hacker News.