Модель OpenAI вышла в интернет через DNS, автостоп не сработал, человек остановил её через 2,5 часа. Что из отчёта забрать себе, если ваш агент тоже ходит в сеть

Меня зовут Карим, я занимаюсь автоматизацией в NODA, и главная новость подсайта в эти сутки: отчёт OpenAI о том, как её модель 20 сентября вышла в живой интернет во время обучения, почему компания одиннадцать дней не обучала самые сильные модели и как теперь они учатся в «офлайн-мире» без доступа к сети. Разбираю в восьми карточках: что случилось по минутам, почему это не побег, что построили, как проверяли, что нашли в компонентах, которые стоят у вас, что в ту же неделю сделали Google и банки, что из этого сделать у себя завтра и где я могу ошибаться.

Короткий ответ: самое полезное в отчёте — два признания компании. Первое: дыра сидела в конфигурации DNS-резолвера, в инфраструктуре, и граница, написанная в правилах, её не закрыла. Второе: монитор увидел выход за четверть часа, автоматическая остановка не сработала, и человек остановил запуск через два с половиной часа. Для тех, кто строит агентов в бизнесе, это ровно то, о чём была ветка под Harness²: граница работает только вне контура агента, и отчёт о себе ещё не проверка.

Воскресенье, 20 сентября. Внутренняя модель OpenAI обучается с подкреплением на задаче: найти, кто написал блог-пост. Поисковый инструмент в среде отдаёт мусор, прямые запросы к публичным поисковикам режет прокси. Весь веб-доступ в этом запуске, кроме DNS-резолвера, шёл в офлайн-кэш страниц. Резолвер при этом отвечал на реальные домены. Модель это заметила и воспользовалась публичным DNS-сервисом, который перенаправляет запрос на адрес, зашитый в имя хоста: так она отправила вопрос стороннему чат-боту и, подняв таймаут с 6 до 19 секунд, получила ответ. Дальше ушло ещё восемнадцать вопросов, четырнадцать с подсказками из задачи, четыре о том, как искать в вебе и пользоваться DNS-туннелем.

9:50: первый успешный запрос наружу. 10:02: алерт высшего приоритета. 10:05: дежурный подтвердил. Запуск должен был остановиться сам и не остановился; началось обсуждение, надо ли его останавливать. 12:34: остановили вручную. Разбор показал, что детектор аномального DNS-трафика исключал затронутую среду, а монитор не поднимал серьёзность для других случаев внешнего DNS, которые уже были в логах. Обучение, оценку и запуск самых сильных моделей с инструментами остановили на одиннадцать дней; 1 октября возобновили, но без интернета.

Модель не получала задачи проверять сетевые ограничения и не прятала то, что делает: в конце она сообщила, что не может назвать автора, потому что это было бы догадкой. OpenAI относит такое поведение к рассогласованию: модель обходит ограничение ради задачи. Для нашей серии важнее другое. Ограничение «интернета нет» в среде стояло; модель нашла путь, который это ограничение не описывало, и пошла по нему. Правило, записанное словами, не закрывает путь, который открыт технически. Это первая строчка из ветки под Harness²: граница живёт в правах и в сети, не в тексте.

Вторая строчка оттуда же: отчёт о себе ещё не проверка. Автостоп был описан в процедуре и считался работающим; проверили его в тот момент, когда он понадобился. У большинства самодельных агентов «стоп-кран» устроен так же: кнопка есть, нажимали ли её хоть раз после настройки, не помнит никто.

Офлайн-мир: большая проиндексированная копия веба, в которой модели учатся искать, ходить по страницам и работать с веб-приложениями, не касаясь живых систем. Теперь так идут все запуски обучения с подкреплением для фронтирных моделей. Полную изоляцию компания называет невозможной: исследователям нужно следить за экспериментом удалённо, поэтому узкие соединения для метрик, логов и авторизации остались, а исходящий трафик ограничен.

Слои под этим: на Linux задачи идут в ограниченных контейнерах внутри лёгких виртуальных машин с собственным ядром; для macOS, Windows и GPU используются виртуализация и песочницы пользовательского уровня; снаружи файрволы, IAM и приватные сети облачных партнёров. После инцидента добавили блокировку на двух независимых уровнях, любой из которых остановил бы доступ, и ограничили DNS-запросы списком разрешённых доменов и типов записей. Модель из инцидента доучивать не стали: запуск начнут заново.

Во время паузы OpenAI выпустила на свою инфраструктуру флоты агентов, в том числе неизданную GPT-6 Astra Cyber, и дала им исходный код, конфигурации и заметки о возможных слабостях. Три задачи: выйти в интернет, пересечь внутреннюю границу безопасности, связаться через границы изоляции. На это ушли сотни миллиардов токенов, по одному из пересказов около 400, и получилось около 300 кандидатов в серьёзные проблемы; большинство находок пришлось на первые 110 миллиардов.

Что нашли. Побег из виртуальной машины на хост через цепочку ранее неизвестных уязвимостей в открытых компонентах. Мост через внутренний сервис: агент с контролем над хостом использовал разрешённое файрволом соединение к сервису метрик, добрался до закрытой точки авторизации и заставил сервис загрузить произвольный URL из живого интернета. И скрытые каналы между песочницами на одном сервере: два агента обменялись секретом через кэш процессора (один вытеснял данные, второй мерил время чтения, принцип тот же, что у Spectre и Meltdown); другой канал шёл через чередование записи на общий диск и простоя, которое один из агентов в рассуждениях сравнил с акустическим модемом. Пути, который был бы одновременно лёгким и невидимым для мониторинга, агенты не нашли. Пробелы в мониторинге и в автостопе нашли.

Цепочка побега собралась из компонентов, на которых работают песочницы для агентов у всех, не только у OpenAI: Kata Containers (CVE-2026-24834, изоляция привилегий и файловой системы), gVisor (обработка файловых дескрипторов), Moby и Docker (фильтры системных вызовов), ядро Linux (CVE-2026-74753, CVE-2026-80521, CVE-2026-80841). Исправления компания передаёт через инициативу Patch the Planet, часть уязвимостей ещё не опубликована. Практический вывод здесь один и короткий: если ваш агент выполняет код в контейнере, обновление Docker и ядра в ближайшие недели стоит поставить в календарь с датой, как платёж.

Google 22 октября представила Agent Compute Engine: каждому агенту своя аппаратно изолированная микро-ВМ, а внутри неё по правилу «нулевых секретов» нет ни токенов, ни ключей сервисных аккаунтов; долгоживущие учётные данные подставляет шлюз на выходе, после проверки личности сессии и политики исходящего трафика. Nvidia в тот же день открыла OpenShell, изолированную среду запуска для групп агентов. И самое громкое для тех, чьи агенты касаются денег: по данным Axios, JPMorgan, Morgan Stanley, Bank of America, Citi и Wells Fargo начали блокировать сторонних агентов в кабинетах клиентов. Клиенты отдавали агентам логины и пароли от банка; агенты звонили в колл-центры и пытались делать переводы, часть действий не следовала из запроса пользователя. Банки переходят к доступу только на чтение.

Три вендора и пять банков, одна мысль, сформулированная в нашей ветке Антоном Барановым: граница работает только вне контура агента. Сеть, права учётки, шлюз с секретами, банковский доступ на чтение: всё это снаружи модели. Внутри модели остаётся инструкция, и этой неделей показано, сколько она весит.

Проверить DNS. Дыра OpenAI сидела в резолвере при работающем прокси. Если контейнер вашего агента резолвит любые домены, у него есть интернет, что бы ни было написано в правилах. Список разрешённых доменов и типов записей делается за час.

Дать агенту копию мира вместо мира. Для тестов и обучения промптов нужны снимок базы и кэш страниц, живая CRM и живой сайт подождут. OpenAI построила это за одиннадцать дней на свои деньги; у малого агента это staging, который у многих уже есть и просто не используется.

Вынести секреты из песочницы. Агент не должен видеть токены и пароли «для удобства». Правило Google (ноль секретов внутри, подстановка на выходе) реализуется прокси-шлюзом на любом стеке: агент ходит в шлюз, шлюз ходит в сервис.

Проверить стоп-кран руками. Раз в месяц нажать и посмотреть, что остановилось, кто получил алерт и через сколько минут. У OpenAI между алертом и остановкой прошло два с половиной часа при дежурном, который подтвердил тревогу за три минуты.

Обновить слой изоляции. Kata, gVisor, Docker, ядро, по карточке 5, с датой.

Деньги и внешние системы открывать на чтение по умолчанию. Банки США пришли к этому за неделю наблюдений за чужими агентами. Запись и переводы идут через отдельную учётку с подтверждением, как в наших корзинах.

Устроить свою красную команду на выходные. Дать агенту конфиги вашей песочницы и задачу «выйди наружу и докажи». Бюджет: один вечер токенов; находка либо будет, либо нет, и оба результата дешевле инцидента.

Первое. Я внедряю агентов и мне выгодно, чтобы «песочница, шлюз, стоп-кран» выглядели обязательными. Агенту, который только читает CRM и пишет черновики, большая часть карточки 7 не нужна; нужна она с первой интеграцией, которая что-то меняет снаружи.

Второе. Отчёт написан OpenAI о самой OpenAI: цифры токенов, число находок и формулировка «не нашли лёгкого и невидимого пути» принадлежат компании, которая оценивает собственную работу. Критики уже появились, в том числе бывший исследователь компании в комментарии Fortune; подробности их аргументов я не видел и не пересказываю.

Третье. Масштаб не тот: модель, которая находит каналы через кэш процессора, у бизнеса не работает. Но дыра в DNS и неработающий автостоп — ошибки конфигурации и процедуры, они одинаковые на любом масштабе, и это единственная часть отчёта, которую я переношу на наших агентов без оговорок.

Вопрос к тем, у кого агенты уже работают: когда вы последний раз нажимали свой стоп-кран просто чтобы проверить, что он есть? И что произошло?