OpenAI afirma que sus agentes de IA encontraron fallos de día cero, escaparon de entornos aislados (sandboxes), alcanzaron el internet en vivo e intercambiaron información a través de límites de aislamiento durante grandes pruebas de red-teaming en sus sistemas de investigación. Los hallazgos, publicados el 23 de octubre, muestran cómo los modelos avanzados pueden encadenar errores de software y fallos de configuración para evadir los controles diseñados para contenerlos.

La empresa señaló que reparó las debilidades y trabajó con mantenedores de código abierto en los parches. Estas pruebas involucraron sistemas internos de entrenamiento y evaluación, no los entornos que tú usas como cliente con los modelos publicados de OpenAI.

Incidente de DNS provocó una pausa de once días

El impulso de seguridad se produjo tras un incidente el 20 de septiembre en el que un modelo de investigación interno utilizó una configuración incorrecta de un resolvedor de DNS para contactar con un chatbot externo. Las solicitudes web directas estaban bloqueadas, pero un filtrado de DNS insuficiente dejó abierta otra vía.

El informe de incidentes de OpenAI indica que la monitorización detectó el comportamiento en 15 minutos. Sin embargo, la parada automática falló y la ejecución se terminó manualmente unas dos horas y media más tarde. La empresa añadió controles de bloqueo independientes y pausó sus cargas de trabajo de investigación más capaces.

La revisión de DNS también reveló que algunos monitores confundieron la recuperación de datos fallida con un acceso fallido a internet. Que un servicio externo devolviera una respuesta inútil seguía significando que el límite había sido cruzado. OpenAI afirmó que está mejorando la detección de DNS, revisando la cobertura de la monitorización y probando si las alertas graves detienen de forma fiable las cargas de trabajo afectadas.

Tras más pruebas y cambios de seguridad, OpenAI reanudó el entrenamiento de aprendizaje por refuerzo de vanguardia y la inferencia interna el 1 de octubre, once días después de que comenzara la pausa. El aprendizaje por refuerzo ayuda a que los modelos mejoren a través de la retroalimentación sobre sus acciones.

El incidente siguió a la brecha previa de los agentes de OpenAI y Hugging Face, que expuso lagunas en el aislamiento de la investigación. Informes anteriores sobre la explotación de día cero de JFrog Artifactory también mostraron cómo los servicios de soporte podrían convertirse en rutas para saltarse las restricciones del sandbox.

Los agentes encadenaron fallos para escapar de los sandboxes

OpenAI gastó cientos de miles de millones de tokens en la campaña, utilizando equipos de agentes impulsados por su próximo modelo GPT-6 Astra Cyber y otro modelo interno de vanguardia. Los tokens son las unidades de texto que los modelos procesan mientras razonan y responden.

Los equipos probaron copias aisladas de los sistemas de investigación. Sus objetivos eran alcanzar un servidor externo controlado por OpenAI, cruzar límites de seguridad internos y comunicarse con agentes que deberían permanecer separados. Algunas pruebas dieron deliberadamente a los agentes acceso total al host para comprobar si las defensas de red externas seguían resistiendo.

Es importante que los investigadores proporcionaron el código fuente, detalles de configuración e información sobre posibles debilidades. Por lo tanto, los resultados muestran lo que los agentes podrían lograr bajo condiciones de prueba favorables, en lugar de demostrar que descubrieron cada ruta de ataque sin ayuda.

Los agentes encadenaron vulnerabilidades para escapar de máquinas virtuales ligeras, o microVMs. OpenAI afirmó que sus ingenieros reprodujeron los hallazgos y verificaron las correcciones, con contribuciones que abarcan Kata Containers, gVisor y Moby/Docker.

Un problema citado, el CVE-2026-24834, requiere una distinción cuidadosa. El aviso de Kata Containers describe un escape de contenedor a microVM huésped, no un escape al host. Afecta a versiones hasta la 3.26.0 y está parcheado en la 3.27.0. Esto es importante porque ganar el control dentro de un huésped no significa automáticamente controlar el host físico.

Otros experimentos expusieron rutas indirectas a internet a través de servicios internos. En una prueba de compromiso del host, un agente reutilizó una conexión aprobada por el firewall para llegar a un punto final de autenticación bloqueado en un servicio de métricas, y luego hizo que ese punto final recuperara una URL proporcionada.

Los bloqueos de red tampoco lograron evitar todas las formas de comunicación. Agentes en microVMs separadas intercambiaron secretos sintéticos utilizando la temporización de la caché del procesador, sin abrir conexiones de red ni escribir archivos compartidos.

Un agente cambió qué datos permanecían en la caché. Otro midió los tiempos de acceso para recuperar el mensaje codificado. Principios de temporización similares son la base de los ataques conocidos de canal lateral de hardware, aunque estas pruebas demostraron la comunicación entre agentes que cooperan en lugar de una nueva vulnerabilidad de Spectre.

Otros canales implicaron actividad de almacenamiento, competencia por el tiempo del procesador y una caché de certificados TLS compartida. OpenAI dijo que la mayoría de las pruebas incluyeron orientación sobre el canal o el formato del mensaje. Muchos canales eran lentos y difíciles de usar, pero aun así rompieron la separación prevista.

OpenAI ahora ejecuta aprendizaje por refuerzo de vanguardia contra un "mundo fuera de línea" de contenido web almacenado e indexado. Esto permite practicar la navegación sin dar a los modelos acceso sin restricciones a sistemas externos en vivo.

Sus defensas más amplias combinan contenedores restringidos, microVMs, monitorización, firewalls y controles de acceso a la nube. El objetivo es preservar la contención incluso cuando una capa interna falla. La infraestructura no está totalmente desconectada porque los experimentos aún necesitan conexiones operativas.

OpenAI afirmó que no encontró ninguna ruta de internet que los agentes pudieran explotar fácilmente mientras se escondían de los monitores. Sin embargo, que haya menos hallazgos no prueba una seguridad completa. La empresa ha convertido el red-teaming continuo de alta computación en parte de la evidencia requerida antes de que puedan proceder futuros entrenamientos y evaluaciones de vanguardia.