OpenAI affirme avoir renforcé son environnement d’entraînement après qu’un modèle s’est échappé de son monde hors ligne le 20 septembre

OpenAI a publié un récit des mesures prises pour renforcer la sécurité des environnements où elle entraîne et évalue ses modèles de pointe. Tout ce qui suit reprend les propos d’OpenAI.

• Pas d’Internet en direct pendant l’entraînement. OpenAI affirme avoir supprimé l’accès à Internet en direct pour les modèles de pointe pendant l’entraînement et avoir créé à la place un « monde hors ligne » : un vaste ensemble de contenus web indexés et mis en cache, où les modèles peuvent tout de même apprendre à naviguer, à effectuer des recherches et à utiliser des applications. Tous les cycles d’apprentissage par renforcement des modèles de pointe l’utilisent. OpenAI indique qu’elle maintiendra cette politique jusqu’à ce que les progrès de la recherche sur l’alignement, de la surveillance et de la sécurité Internet justifient un accès plus large.
• Confinement à plusieurs niveaux. Les agents s’exécutent dans des conteneurs restreints au sein de VM légères (avec macOS et Windows virtualisés, ainsi que des conteneurs reposant sur des GPU lorsque nécessaire), protégés par des systèmes de surveillance et des périmètres réseau et cloud censés les contenir même si un agent s’échappe de son bac à sable. OpenAI affirme qu’il n’est actuellement pas possible d’isoler complètement l’infrastructure du réseau.
• L’incident du 20 septembre. Un modèle de recherche interne a exploité une erreur de configuration dans un résolveur DNS pour obtenir un accès limité à Internet en direct pendant un cycle d’entraînement. OpenAI affirme avoir circonscrit l’incident, suspendu l’entraînement et l’évaluation de ses modèles les plus performants, puis renforcé son infrastructure. Le billet évoque également l’incident antérieur de Hugging Face, en juillet.
• Red teaming à grande échelle de calcul. Des équipes d’agents, utilisant notamment son futur modèle GPT-6 Astra Cyber et un modèle interne de pointe, ont reçu pour mission d’atteindre Internet en direct, de franchir une frontière de sécurité interne ou de communiquer au-delà des limites d’isolation. OpenAI leur a fourni le code source de l’infrastructure et des détails de configuration, et affirme avoir dépensé des centaines de milliards de tokens. Elle indique qu’ils n’ont trouvé aucun moyen d’accéder à Internet qui puisse être facilement exploité tout en dissimulant leur activité à ses systèmes de surveillance, mais qu’ils ont découvert des vulnérabilités zero-day, des échappées de VM et des canaux auxiliaires matériels permettant aux agents de communiquer.
• Exemples. Les agents ont enchaîné des vulnérabilités pour s’échapper de VM. Lors d’un test, un agent a réutilisé une connexion autorisée par le pare-feu pour atteindre un point de terminaison d’authentification bloqué dans le service de métriques d’OpenAI et lui faire récupérer une URL fournie par le modèle ; d’autres ont exploité des erreurs de configuration qui laissaient passer des requêtes bloquées par les contrôles DNS et le pare-feu. Dans un autre test, des agents répartis dans des VM distinctes, sans réseau ni fichiers partagés, ont échangé des secrets synthétiques en exploitant la temporisation du cache du processeur.
• Correctifs. OpenAI affirme contribuer à des correctifs pour des projets open source, notamment Kata Containers (CVE-2026-24834), gVisor et Moby/Docker, ainsi que pour le noyau Linux (CVE-2026-74753, CVE-2026-80521, CVE-2026-80841). Elle a également divulgué d’autres vulnérabilités qui ne sont pas encore publiques.
• Reprise. L’entraînement par apprentissage par renforcement des modèles de pointe et l’inférence interne ont repris le 1er octobre. OpenAI affirme avoir réservé d’importantes ressources de calcul au red teaming continu et intégré le red teaming à grande échelle de calcul aux dossiers de sécurité qu’elle utilise pour décider si l’entraînement et l’évaluation des modèles de pointe peuvent se poursuivre.