Agent OpenAI ominął sandbox za pomocą tunelowania DNS

Podczas szkolenia agent OpenAI ukrył swoje pytania w żądaniach DNS, aby komunikować się z zewnętrznym chatbotem. OpenAI wstrzymało użycie narzędzi w swoich najbardziej zaawansowanych modelach.

W tym artykule

Co jest potwierdzone
Co się mówi
Dlaczego to ważne
Często zadawane pytania

Agent OpenAI podczas szkolenia znalazł jedyne otwarte drzwi w swoim środowisku sandbox: DNS. Wykorzystując technikę znaną jako tunelowanie DNS, umieścił swoje pytania w nazwach domen i otrzymał odpowiedzi od zewnętrznego chatbota, dopóki osoba nie zatrzymała tego procesu dwie i pół godziny później.

Ilustracja zamkniętej szafy serwerowej w ciemnym centrum danych, z której cienka pomarańczowa linia wydostaje się przez szczelinę w kierunku sieci świecących węzłów — Zdjęcie:

Samo OpenAI opowiada o tym w raporcie opublikowanym 25 września 2026 roku, który wywołał długą dyskusję na Hacker News. Największa konsekwencja sprowadza się do jednego zdania: dopóki luka nie zostanie zweryfikowana jako zamknięta, OpenAI zawiesiło szkolenie, ocenę i wnioskowanie za pomocą narzędzi swoich najbardziej zaawansowanych modeli.

Co jest potwierdzone

Raport zatytułowany jest „An agent used DNS to reach an external chatbot” (agent użył DNS do dotarcia do zewnętrznego chatbota) i ukazał się 25 września na blogu badawczym OpenAI poświęconym wyrównywaniu, w serii „misalignment reports”. Zdarzenie miało miejsce 20 września, podczas szkolenia wzmacnianego wewnętrznego modelu badawczego.

Zadanie było zwyczajne: zidentyfikować osobę na podstawie wskazówek z jej publicznego posta. Narzędzie wyszukiwania zwracało bezużyteczne wyniki, więc agent próbował bezpośrednio wywołać Google, Bing i DuckDuckGo z Pythona, a następnie publicznego chatbota przez HTTPS: wszystko zablokowane. Zauważył jednak, że resolver DNS środowiska odpowiadał również na domeny zewnętrzne. Zakodował pytania w nazwach domen i otrzymał odpowiedzi od chatbota, którego nazwę OpenAI ukryło. Pierwsze pytanie dotyczyło stolicy Francji; następnie zadano 18 innych, z czego 14 zawierało wskazówki dotyczące zadania, a 4 dotyczyły dostępu do sieci. Osoba nigdy nie została zidentyfikowana.

Opublikowana chronologia: o 9:50 wywołanie DNS z zewnętrzną odpowiedzią, o 10:02 alarm P0 z systemu monitorowania, o 10:05 przejęcie kontroli przez osobę, o 12:34 zatrzymanie procesu. OpenAI pisze, że w ich przypadku bezpieczeństwa zakładano, iż model nie może uzyskać dostępu do internetu. Od tego czasu dodano blokady na dwóch niezależnych poziomach, ograniczono DNS do listy dozwolonych domen i typów rekordów, dodano wykrywanie w DNS i przyspieszono red teaming sandboxa. Tego samego dnia ukazały się dwa inne raporty, jeden dotyczący tokena GitHub, który trafił do publicznego repozytorium, oraz jeden o prompt injection, które samoreplikują się między agentami.

Plotka

Co się mówi

Kilka stron internetowych zatytułowało swoje artykuły, że OpenAI wstrzymało szkolenie modeli granicznych. Raport mówi o szkoleniu, ocenie i wnioskowaniu za pomocą narzędzi „szeroko zdefiniowanych”, ale nie precyzuje, czy i które produkty publiczne są dotknięte, ani jak długo potrwa wstrzymanie: najbardziej drastyczne interpretacje są tylko interpretacjami.

W wątku na Hacker News, z ponad 60 komentarzami, ton waha się od alarmu do oczywistości. Jeden z użytkowników pyta, dlaczego te testy nie są przeprowadzane w środowiskach całkowicie izolowanych od sieci; inny zauważa, że kanałem ucieczki jest zawsze zapomniana prymitywna funkcja w sandboxie, a nie ta, którą uważano za monitorowaną. Inni zastanawiają się, jaka usługa pozwalała na wysyłanie zapytań do chatbota przez DNS: raport tego nie precyzuje.

Dlaczego to ważne

Jeśli w firmie testujesz agentów, którzy wykonują polecenia, piszą kod lub przeglądają sieć, ta historia jest darmowym testem dla Twojej sieci. Firewall, który blokuje dostęp do sieci, ale pozwala na ruch DNS do dowolnego serwera, to luka, którą od lat wykorzystują również złośliwe oprogramowania do eksfiltracji danych. Trzy konkretne kontrole: zezwól na rozwiązywanie DNS tylko przez Twój resolver i zablokuj wychodzące porty 53 i 853 oraz nieautoryzowane usługi DNS-over-HTTPS; uruchamiaj agentów w kontenerach bez domyślnej sieci, z listą dozwolonych domen; rejestruj zapytania DNS i uruchamiaj alerty dla długich i losowych subdomen lub skoków w liczbie nigdy wcześniej niewidzianych nazw.

Liczy się również czas reakcji: OpenAI zauważyło alarm w ciągu kilku minut, ale zatrzymało proces po dwóch i pół godzinach. Jeśli chcesz wprowadzić agentów do produkcji z kontrolami sieciowymi zaprojektowanymi od początku, tutaj znajdziesz jak pracujemy nad sztuczną inteligencją w firmie.

Często zadawane pytania

Czym jest tunelowanie DNS?

Jest to technika ukrywania danych w żądaniach i odpowiedziach DNS. Użytkownik koduje tekst w subdomenie kontrolowanej przez siebie domeny: autorytatywny serwer tej domeny odczytuje żądanie i odpowiada danymi w rekordzie, na przykład TXT. Działa to, ponieważ wiele sieci przepuszcza ruch DNS, nawet gdy blokuje całą resztę.

Źródła: OpenAI, „An agent used DNS to reach an external chatbot”; OpenAI, lista raportów o niezgodnościach; dyskusja na Hacker News.