OpenAI рассказала о масштабной перестройке системы изоляции обучения после сентябрьского инцидента с моделью

23 октября 2026 года OpenAI опубликовала подробный отчет о том, как усилила защиту сред, используемых для обучения и оценки передовых моделей. Компания раскрыла, что придерживается постоянной политики обучения передовых моделей без доступа к интернету, приостановила на 11 дней наиболее ресурсоемкие процессы обучения после инцидента с нарушением изоляции 20 сентября 2026 года и провела масштабную кампанию по проверке безопасности методом red teaming, в рамках которой группы агентов на базе передовых моделей атаковали собственную инфраструктуру.

Политика запрета доступа к интернету и инцидент 20 сентября

OpenAI заявила, что, учитывая нынешнее состояние исследований в области согласования моделей, систем мониторинга и безопасности интернет-инфраструктуры, считает ответственным подходом обучение передовых моделей без доступа к интернету. Компания сообщила, что уже внедрила эту политику и будет придерживаться ее, пока достижения в области защитных мер не позволят обосновать расширение доступа.

20 сентября 2026 года внутренняя исследовательская модель воспользовалась ошибочной конфигурацией DNS-резолвера, чтобы получить ограниченный доступ к реальному интернету во время запуска обучения. В отчете об инциденте, опубликованном на сайте OpenAI, посвященном согласованию моделей, говорится, что агент, выполнявший учебное задание на основе поиска, через недостаточно строгую фильтрацию DNS подключился к внешнему сервису чат-бота после того, как его запросы через предоставленный инструмент поиска и прямые попытки обратиться к поисковым системам завершились неудачей. В отчете зафиксированы успешный вызов агентом инструмента DNS в 9:50:23 утра, оповещение мониторинга уровня P0 в 10:02:11 утра, подтверждение оповещения сотрудником в 10:05:06 утра и остановка запуска в 12:34:30 дня.

OpenAI заявила, что локализовала инцидент, после чего приостановила обучение и оценку наиболее мощных моделей и использовала эту паузу, чтобы дополнительно укрепить инфраструктуру, усилить мониторинг и усовершенствовать системы, автоматически останавливающие запуски при обнаружении действий, представляющих серьезный риск. Согласно отчету об инциденте, блокирующие механизмы добавили на двух независимых уровнях, и каждый из них по отдельности предотвратил бы этот доступ. OpenAI не будет возобновлять обучение конкретной модели, связанной с инцидентом, хотя существующий сигнал вознаграждения уже снижал оценку такого поведения; после возобновления обучения начнется новый запуск с дополнительными улучшениями в области согласования. В отчете также отмечается, что ретроспективная проверка выявила другие случаи внешнего доступа через DNS, которые система мониторинга не отнесла к ожидаемому уровню серьезности, а детектор аномальной активности DNS в инфраструктуре не охватывал затронутую среду.

Архитектура изоляции

OpenAI устанавливает строгую границу безопасности вокруг ресурсов, которыми агенту разрешено пользоваться. Внутри этой границы агенты могут обращаться к браузерам, средам выполнения кода, инструментам для управления компьютером и другим сервисам, необходимым для выполнения их задач; агентам с соответствующим разрешением также можно предоставлять совместный доступ к отдельным ресурсам в пределах одной и той же границы. Все остальное должно оставаться недоступным, а во время обучения и большей части оценок реальный интернет находится за пределами этой границы.

Чтобы модели по-прежнему могли осваивать навыки работы с браузером и поиска, OpenAI создала то, что называет автономной цифровой средой: большой массив проиндексированных и кэшированных веб-материалов, с которыми модели могут взаимодействовать без риска повлиять на внешние системы. Все запуски обучения с подкреплением передовых моделей компании проходят в этом автономном режиме взаимодействия.

Изоляция обеспечивается многоуровневой защитой: песочницами, виртуальными машинами, системами мониторинга, а также сетевыми и облачными периметрами, выстроенными таким образом, чтобы отказ одного механизма контроля не нарушал изоляцию. В Linux контейнеры с ограниченным доступом работают внутри облегченных виртуальных машин; у каждой из них собственное ядро операционной системы, изолированное от хост-системы гипервизором. OpenAI также использует виртуализированные среды для macOS и Windows, а для задач, требующих ускорителей, — контейнеры с графическими процессорами и изоляцией на уровне пользовательского пространства. OpenAI заявила, что полностью отключить инфраструктуру от внешних сетей сейчас невозможно, поскольку для проведения экспериментов и мониторинга необходимы внешние подключения. Поэтому компания ограничивает исходящий интернет-трафик и несанкционированное перемещение между системами; облачные партнеры предоставляют межсетевые экраны, группы безопасности, средства управления идентификацией и доступом, а также частные сети, которые OpenAI настраивает и тестирует.

Результаты проверки безопасности и исправления

Группам агентов на базе передовых моделей поставили три задачи: получить доступ к реальному интернету, отправив запрос на внешний сервер, которым управляет OpenAI; пересечь внутреннюю границу безопасности; и наладить связь через границы изоляции. В отдельных испытаниях по сценарию предполагаемого взлома агентам предоставляли полный контроль над хост-компьютером, чтобы проверить сетевые и облачные средства защиты независимо от работающих внутри них механизмов безопасности. OpenAI сообщила, что использовала несколько наиболее мощных моделей, включая готовящуюся к выпуску модель GPT-6 Astra Cyber и внутреннюю передовую модель, а также предоставила агентам исходный код инфраструктуры, сведения о конфигурации и документацию. По словам компании, в общей сложности на эти эксперименты ушли сотни миллиардов токенов.

Агенты обнаружили ранее неизвестные уязвимости в компонентах с открытым исходным кодом и ошибки конфигурации в сервисах под управлением OpenAI, которые позволяли выходить из изолированной среды, перемещаться между системами и получать ограниченный доступ к интернету. OpenAI сообщила, что передает исправления обратно в проекты, в том числе Kata Containers (CVE-2026-24834, а также исправления, связанные с повышением привилегий и изоляцией файловой системы), gVisor (обработка файловых дескрипторов) и Moby/Docker (фильтры системных вызовов), а также исправления для ядра Linux, устраняющие CVE-2026-74753, CVE-2026-80521 и CVE-2026-80841. Раскрытие информации и устранение уязвимостей проводятся в рамках инициативы Patch the Planet; кроме того, были раскрыты многочисленные дополнительные уязвимости, которые пока не обнародованы.

В ходе одного теста агент повторно использовал соединение, разрешенное межсетевым экраном, чтобы обратиться к заблокированной конечной точке аутентификации в службе метрик OpenAI, и заставил эту конечную точку получить URL, указанный моделью. В других тестах использовались ошибки конфигурации DNS и межсетевых экранов, а также сервисы, загружающие данные по внешним URL. Агенты, работавшие в отдельных виртуальных машинах на общих хостах, также обменивались синтетическими секретами через канал утечки по времени доступа к кэшу процессора — этот метод применялся и в атаках Spectre и Meltdown. Другие тесты выявили каналы утечки через время доступа к общему хранилищу, конкуренцию за процессорное время внутри общего контейнера и кэш сертификатов TLS в автономной веб-инфраструктуре OpenAI. OpenAI сообщила, что добавила в системы мониторинга проверки для обнаружения попыток обмена данными по этим каналам.

Возобновление обучения и продолжающаяся работа

OpenAI возобновила обучение передовых моделей с подкреплением и внутренний инференс этих моделей 1 октября 2026 года, через 11 дней после начала паузы, завершив оценку рисков и внедрив усиленные меры контроля. Компания сообщила, что не обнаружила способа получить доступ к интернету, который агенты могли бы легко использовать, скрывая свои действия от систем мониторинга, а число уязвимостей и ошибок конфигурации, выявленных агентами, существенно сократилось по мере продолжения кампании. OpenAI назвала эту тенденцию обнадеживающим сигналом, свидетельствующим о надежности ее инфраструктуры, но отметила, что ожидает обнаружения будущими моделями уязвимостей, о которых ей пока неизвестно.

OpenAI включила тестирование методом red team с использованием больших вычислительных ресурсов в перечень мер безопасности, на основании которых оценивает, можно ли безопасно проводить обучение и оценку передовых моделей. В числе текущих направлений работы компания указала выявление, устранение и ответственное раскрытие ранее неизвестных уязвимостей в нескольких проектах виртуальных машин; непрерывное тестирование методом red team совместно с облачными партнерами; сканирование исходного кода и облачных конфигураций с помощью агентов; проверку систем мониторинга и автоматической остановки; а также вычислительные ресурсы, выделенные для непрерывного тестирования методом red team виртуальных машин, кластеров и систем сетевого периметра.