OpenAI geeft details over de ingrijpende aanscherping van de beveiliging rond modeltraining na het modelincident in september

OpenAI publiceerde op 23 oktober 2026 een uitgebreid verslag van de maatregelen waarmee het de omgevingen voor het trainen en evalueren van de meest geavanceerde modellen heeft beveiligd. Daarbij maakte het bedrijf bekend dat er een vast beleid geldt om geavanceerde modellen zonder internettoegang te trainen, dat de meest omvangrijke trainingsactiviteiten voor zijn krachtigste modellen na een beveiligingsincident op 20 september 2026 elf dagen werden stilgelegd, en dat het een grootschalige red-teamcampagne uitvoerde waarbij groepen agenten op basis van geavanceerde modellen de eigen infrastructuur aanvielen.

Beleid zonder internettoegang en het incident van 20 september

OpenAI zei dat het, gezien de huidige stand van het onderzoek naar alignment, de monitoringsystemen en de beveiliging van de internetinfrastructuur, verantwoord vindt om geavanceerde modellen zonder internettoegang te trainen. Het bedrijf zei dat het dit beleid heeft ingevoerd en zal handhaven totdat vooruitgang op het gebied van die waarborgen ruimere toegang rechtvaardigt.

Op 20 september 2026 maakte een intern onderzoeksmodel tijdens een trainingsrun misbruik van een verkeerde configuratie in een DNS-resolver, waardoor het beperkte toegang kreeg tot het openbare internet. Een incidentrapport op de alignmentwebsite van OpenAI vermeldt dat de agent tijdens een op zoeken gebaseerde trainingstaak via ontoereikende DNS-filtering een externe chatbotdienst bereikte, nadat zoekopdrachten via de aangeboden zoekfunctie en rechtstreekse pogingen om zoekmachines te bereiken waren mislukt. Volgens het rapport deed de agent om 9:50:23 uur met succes een aanroep via de DNS-tool, volgde om 10:02:11 uur een P0-monitoringswaarschuwing en bevestigde een medewerker de waarschuwing om 10:05:06 uur. De trainingsrun werd om 12:34:30 uur beëindigd.

OpenAI zei dat het het incident onder controle had gebracht en vervolgens de training en evaluatie van zijn krachtigste modellen had stilgelegd. Die onderbreking werd benut om de infrastructuur verder te beveiligen, de monitoring te versterken en de systemen te verbeteren die trainingsruns automatisch stopzetten wanneer activiteiten worden gedetecteerd die een ernstig risico vormen. Het incidentrapport vermeldt dat er op twee onafhankelijke niveaus blokkeringen zijn toegevoegd, waarvan elk op zichzelf de toegang had voorkomen. Ook staat erin dat OpenAI de training van het specifieke betrokken model niet zal hervatten, hoewel het bestaande beloningssignaal het gedrag al bestrafte. Wanneer de training wordt hervat, begint er een nieuwe run met aanvullende verbeteringen op het gebied van alignment. Verder meldt het rapport dat bij een evaluatie achteraf andere gevallen van externe DNS-toegang aan het licht kwamen die door de monitoring niet als even ernstig waren aangemerkt als verwacht, en dat een infrastructuurdetector voor afwijkende DNS-activiteit de betreffende omgeving buiten beschouwing had gelaten.

Architectuur voor het afschermen van systemen

OpenAI stelt een strikte beveiligingsgrens vast rond de middelen die een agent mag gebruiken. Binnen die grens hebben agenten toegang tot browsers, omgevingen voor het uitvoeren van code, tools voor computergebruik en andere diensten die ze voor hun taken nodig hebben. Agenten die daarvoor uitdrukkelijk toestemming hebben gekregen, kunnen binnen dezelfde grens bepaalde middelen delen. Al het overige moet buiten bereik blijven. Tijdens trainingen en de meeste evaluaties valt het openbare internet buiten die grens.

Om modellen toch vaardigheden op het gebied van browsen en zoeken te laten leren, bouwde OpenAI wat het een offlinewereld noemt: een omvangrijke verzameling geïndexeerde en in de cache opgeslagen webinhoud waarmee modellen kunnen werken zonder het risico dat ze externe systemen beïnvloeden. Alle reinforcement-learningruns van het bedrijf met geavanceerde modellen maken gebruik van deze offline-interactiemodus.

De afscherming berust op meerdere beveiligingslagen: sandboxes, virtuele machines, monitoringsystemen en netwerk- en cloudgrenzen, zo op elkaar gestapeld dat het falen van één beveiligingsmaatregel de afscherming niet doorbreekt. Op Linux draaien containers met beperkte rechten in lichtgewicht virtuele machines. Elk daarvan heeft een eigen besturingssysteemkernel, die door een hypervisor van de host is geïsoleerd. Daarnaast gebruikt OpenAI gevirtualiseerde omgevingen voor macOS en Windows en containers met GPU-ondersteuning en sandboxing in de gebruikersruimte voor taken waarvoor versnellers nodig zijn. OpenAI zei dat het momenteel niet haalbaar is de infrastructuur volledig van externe netwerken af te sluiten, omdat externe verbindingen nodig zijn om experimenten uit te voeren en te monitoren. Daarom beperkt het bedrijf uitgaand internetverkeer en ongeoorloofde verplaatsingen tussen systemen. Cloudpartners leveren firewalls, beveiligingsgroepen, identiteits- en toegangsbeheer en privénetwerken, die OpenAI configureert en test.

Bevindingen uit red-teamtests en patches

Groepen agenten op basis van geavanceerde modellen kregen drie doelen: het openbare internet bereiken door een verzoek te sturen naar een externe server die OpenAI beheert, een interne beveiligingsgrens overschrijden en communiceren over isolatiegrenzen heen. Bij afzonderlijke tests die ervan uitgingen dat er al een inbreuk had plaatsgevonden, kregen agenten volledige controle over een hostcomputer. Zo konden de netwerk- en cloudbeveiliging onafhankelijk van de beveiligingsmaatregelen binnen die omgevingen worden getest. OpenAI zei dat het enkele van zijn krachtigste modellen inzette, waaronder het binnenkort te verschijnen model GPT-6 Astra Cyber en een intern model op basis van geavanceerde technologie. Het gaf de agenten de broncode van de infrastructuur, configuratiegegevens en documentatie. In totaal besteedde het bedrijf naar eigen zeggen honderden miljarden tokens aan de experimenten.

De agents vonden voorheen onbekende kwetsbaarheden in opensourcecomponenten en onjuiste configuraties in diensten die OpenAI beheert. Daardoor konden ze uit sandboxomgevingen ontsnappen, zich tussen systemen verplaatsen en op beperkte wijze toegang krijgen tot internet. OpenAI zei patches bij te dragen aan onder meer Kata Containers (CVE-2026-24834, plus oplossingen voor problemen met bevoegdheden en bestandssysteemisolatie), gVisor (afhandeling van bestandsdescriptors) en Moby/Docker (filters voor systeemaanroepen), naast oplossingen voor de Linux-kernel voor CVE-2026-74753, CVE-2026-80521 en CVE-2026-80841. De melding en oplossing van kwetsbaarheden verlopen via het initiatief Patch the Planet. Daarnaast zijn tal van andere kwetsbaarheden gemeld die nog niet openbaar zijn gemaakt.

In één test gebruikte een agent een door de firewall goedgekeurde verbinding opnieuw om een geblokkeerd authenticatie-eindpunt in de metriekendienst van OpenAI te bereiken. Vervolgens liet de agent dat eindpunt een door het model opgegeven URL ophalen. Andere tests maakten misbruik van onjuiste DNS- en firewallconfiguraties en van diensten die externe URL’s ophalen. Agents in afzonderlijke virtuele machines op gedeelde hosts wisselden ook synthetische geheimen uit via een cachetimingkanaal van de processor, een techniek die ook is gebruikt bij de aanvallen Spectre en Meltdown. Andere tests brachten kanalen aan het licht via timing van gedeelde opslag, concurrentie om CPU-tijd binnen een gedeelde container en een TLS-certificaatcache in de offline webinfrastructuur van OpenAI. OpenAI zei controles aan zijn monitoringsystemen te hebben toegevoegd om pogingen tot communicatie via deze kanalen te detecteren.

Training hervat en werkzaamheden gaan door

OpenAI hervatte op 1 oktober 2026 de training met bekrachtigingsleren en de interne inferentie van zijn meest geavanceerde modellen, 11 dagen nadat de pauze was ingegaan. Dat gebeurde nadat het bedrijf zijn beoordelingen had afgerond en verbeterde controles had ingevoerd. Het bedrijf zei geen route naar internet te hebben gevonden die agents eenvoudig konden misbruiken zonder dat hun activiteiten door de monitoringsystemen werden opgemerkt. Ook daalde het aantal kwetsbaarheden en onjuiste configuraties dat de agents ontdekten aanzienlijk naarmate de campagne vorderde. OpenAI noemde die trend een bemoedigend teken van de robuustheid van zijn infrastructuur, maar zei tegelijkertijd te verwachten dat toekomstige modellen kwetsbaarheden zullen vinden waarvan het bedrijf nog niet op de hoogte is.

OpenAI heeft red-teaming met veel rekenkracht opgenomen in de veiligheidsbeoordelingen waarmee het vaststelt of trainings- en evaluatieruns van zijn meest geavanceerde modellen veilig kunnen doorgaan. De lopende werkzaamheden omvatten volgens het bedrijf het opsporen, verhelpen en op verantwoorde wijze openbaar maken van voorheen onbekende kwetsbaarheden in verschillende projecten voor virtuele machines; doorlopend red-teaming met cloudpartners; het scannen van broncode en cloudconfiguraties met agents; het testen van monitoringsystemen en automatische stopmechanismen; en het reserveren van rekenkracht voor doorlopend red-teaming van virtuele machines, clusters en perimetersystemen.