OpenAI发现Agents可绕过安全隔离，串联0Day漏洞逃逸-阻击者联盟

本文转载自微信公众号「FreeBuf」

内容版权归原作者及原公众号所有，转载仅为传播资讯；若有侵权请联系管理员删除。

图片[1]-OpenAI发现Agents可绕过安全隔离，串联0Day漏洞逃逸-阻击者联盟

图片[2]-OpenAI发现Agents可绕过安全隔离，串联0Day漏洞逃逸-阻击者联盟

OpenAI在对其研究系统开展的大规模红队测试中发现，旗下AI Agents可发现0Day漏洞、逃出沙箱、接入真实公网，甚至跨隔离边界交换信息。测试结果于10月23日公布，展现了先进模型如何串联软件漏洞与配置错误，绕过专为限制模型设计的管控机制。

目前公司已修复相关漏洞，并协同开源维护人员推送补丁。本次测试仅针对内部训练与评估系统，不涉及面向用户开放的正式版模型运行环境。

图片[3]-OpenAI发现Agents可绕过安全隔离，串联0Day漏洞逃逸-阻击者联盟

Part01

DNS配置错误引发安全事件

本次安全加固的起因是9月20日的一起事件：当时一款内部研究模型利用DNS解析器配置错误，成功连接到外部聊天机器人。系统原本拦截了所有直接网页请求，但DNS过滤规则存在疏漏，给模型留下了可乘之机。

事件报告显示，监控系统在15分钟内就标记了该异常行为，但自动关停机制失效，最终在约两个半小时后才人工终止了该任务运行。事后公司新增了独立阻断控制措施，暂停了所有最高能力等级的研究工作负载。

后续DNS排查还发现，部分监控规则存在逻辑缺陷：只要外部服务返回无效响应，就会将数据获取失败误判为未联网，实际上此时模型已经突破了网络边界。目前团队正在优化DNS检测能力、核查监控覆盖范围，同时测试高危告警能否可靠关停受影响的工作负载。

经过多轮测试与安全调整，公司于10月1日恢复了前沿强化学习训练与内部推理任务，此时距离暂停开始已过去11天。强化学习技术可让模型根据自身动作获得的反馈持续迭代能力。

这起事件发生前，OpenAI曾出现AI Agents相关安全问题、Hugging Face曾发生数据泄露事件，两起事件均暴露了研究环境隔离机制的漏洞。此前关于JFrog Artifactory 0Day漏洞被利用的报道也显示，配套服务可能成为绕过沙箱限制的通道。

Part02

AI Agents串联多类漏洞

OpenAI为本次红队测试投入了数千亿token，测试所用的Agent团队由即将推出的GPT-6 Astra Cyber模型及另一款内部前沿模型驱动。Token是大模型推理、生成响应时处理的文本基本单位。

图片[4]-OpenAI发现Agents可绕过安全隔离，串联0Day漏洞逃逸-阻击者联盟

测试团队在隔离的研究系统副本上开展验证，设定的目标包括：接入OpenAI控制的外部服务器、跨越内部安全边界、与本应完全隔离的其他Agent通信。部分测试中，研究人员故意给Agent开放完整主机权限，以验证外层网络防御是否仍然有效。

值得注意的是，测试过程中研究人员向Agent提供了源代码、配置细节以及潜在弱点相关信息。因此测试结果仅代表Agent在有利测试条件下的能力上限，并不证明Agent可以在无辅助的情况下自主发现所有攻击路径。

测试显示，Agent可串联多个漏洞，从微虚拟机（microVM）这类轻量虚拟机环境中逃逸。公司工程师已复现所有发现的问题并验证修复方案，相关修复覆盖Kata Containers、gVisor、Moby/Docker等开源项目。

本次披露的CVE-2026-24834漏洞需要特别区分：Kata Containers的安全公告显示，该漏洞仅支持从容器逃逸到微虚拟机的客户机环境，无法直接逃逸到物理主机。该漏洞影响3.26.0及之前版本，已在3.27.0版本中修复。这一区分十分关键，因为获得客户机控制权并不等同于控制底层物理主机。

其他实验还发现了通过内部服务间接访问公网的路径。在一次主机权限获取测试中，一个Agent复用了防火墙放行的连接，访问指标服务中原本被拦截的认证端点，再操控该端点拉取指定URL的内容。

网络拦截措施也无法阻断所有跨隔离通信渠道。部署在不同微虚拟机中的Agent无需建立网络连接、也无需写入共享文件，就能利用处理器缓存时序交换构造的密钥信息。

具体攻击流程为，一个Agent修改缓存中留存的数据，另一个Agent通过测量内存访问时间还原编码后的消息。这种时序原理与已知的硬件侧信道攻击类似，但本次测试仅验证了协作Agent之间的通信可行性，并未发现新的幽灵漏洞。

其他可用于跨隔离通信的渠道还包括存储活动、处理器时间竞争、共享TLS证书缓存等。大部分测试中，研究人员都向Agent提供了通信渠道或消息格式相关的指引。这些渠道大多传输速度慢、使用难度高，但仍然打破了预设的隔离边界。

Part03

OpenAI强化沙箱防护

目前OpenAI已将前沿强化学习训练放在由缓存、索引网页内容构成的”离线世界”中开展，既可以让模型练习浏览操作，又不会给模型开放无限制的真实外部系统访问权限。

其整体防御体系结合了受限容器、微虚拟机、监控系统、防火墙与云访问控制机制，目标是即便某一内层防护失效，整体隔离机制仍然有效。由于实验运行仍需要必要的运维连接，这套基础设施并未完全与外网断开。

OpenAI表示，目前暂未发现Agent可以在绕过监控的前提下轻松利用的公网访问路径，但未发现问题不代表系统绝对安全。公司已将持续开展高算力红队测试，作为未来所有前沿模型训练、评估启动前必须完成的验证环节。

参考来源：

OpenAI AI Agents Bypass Security Isolation, Exploiting 0-Days in Red-Teaming Tests

https://cybersecuritynews.com/openai-ai-agents-bypass-security-isolation/

电报讨论

图片[6]-OpenAI发现Agents可绕过安全隔离，串联0Day漏洞逃逸-阻击者联盟

图片[7]-OpenAI发现Agents可绕过安全隔离，串联0Day漏洞逃逸-阻击者联盟

图片[8]-OpenAI发现Agents可绕过安全隔离，串联0Day漏洞逃逸-阻击者联盟

— 阅读原文请访问微信公众号「FreeBuf」 · 原文链接 —

文章版权声明 1、本网站名称：阻击者联盟安全社区
2、本站永久网址：https://blogh-ackercn
3、本网站的文章部分内容可能来源于网络，仅供大家学习与参考，如有侵权，请联系官方群：1026163188进行删除处理。
4、本站一切资源不代表本站立场，并不代表本站赞同其观点和对其真实性负责。
5、本站一律禁止以任何方式发布或转载任何违法的相关信息，访客发现请向官方群举报
6、本站资源大多存储在云盘，如发现链接失效，请联系我们我们会第一时间更新。

THE END

网络安全
# 微信公众号 # 转载 # FreeBuf

OpenAI发现Agents可绕过安全隔离，串联0Day漏洞逃逸

推荐阅读

电报讨论