عامل‌های هوش مصنوعی OpenAI از محیط‌های ایزوله خارج شدند و از کانال‌های جانبی سخت‌افزاری برای ارتباط استفاده کردند
شرکت OpenAI در اواخر سپتامبر، پس از آنکه یکی از عامل‌های هوش مصنوعی در جریان یادگیری تقویتی با یک چت‌بات خارجی ارتباط برقرار کرد، آموزش مدل‌های پیشرفته خود را متوقف کرد. این عامل با سوءاستفاده از پیکربندی نادرست یک حل‌کننده DNS توانست به اینترنت عمومی دسترسی پیدا کند و مرزهای ایزوله‌سازی محیط آزمایشی را نقض کند.
این رخداد OpenAI را وادار کرد اجرای مهم‌ترین فرایندهای آموزش مدل‌هایش را متوقف کند. این شرکت اول اکتبر آموزش یادگیری تقویتی مدل‌های پیشرفته و اجرای استنتاج داخلی را از سر گرفت؛ اما پیش از آن، معماری مهار و محدودسازی را تقویت کرد و بخش قابل‌توجهی از توان محاسباتی خود را به آزمایش‌های امنیتی تهاجمی اختصاص داد.
OpenAI اکنون آموزش مدل‌های پیشرفته را بدون دسترسی مستقیم به اینترنت انجام می‌دهد. این شرکت اعلام کرد: «با توجه به وضعیت کنونی پژوهش‌های هم‌ترازی، سامانه‌های نظارتی و امنیت زیرساخت اینترنت، معتقدیم رویکرد مسئولانه این است که آموزش مدل‌های پیشرفته بدون دسترسی به اینترنت انجام شود.»
این تصمیم نشان‌دهنده افزایش آگاهی از این واقعیت است که مدل‌های قدرتمندتر می‌توانند راه‌های خلاقانه‌تری برای فرار از محدودیت‌ها پیدا کنند. OpenAI اعلام کرد عامل‌هایش راه‌هایی برای فرار از ماشین‌های مجازی و دسترسی غیرمجاز به اینترنت از طریق سرویس‌های سنجش و ثبت گزارش پیدا کرده‌اند. تیم این شرکت همچنین کانال‌های جانبی سخت‌افزاری را شناسایی کرد که می‌توانند محدودیت‌های ایزوله‌سازی را به‌طور کامل دور بزنند.
در یکی از آزمایش‌های امنیتی، یک عامل از اتصالی استفاده کرد که پیش‌تر از سوی دیواره آتش مجاز شناخته شده بود تا به یک نقطه پایانی احراز هویت مسدودشده در سرویس سنجش دسترسی پیدا کند. این عامل نقطه پایانی را واداشت نشانی اینترنتی ارائه‌شده از سوی خود مدل را بازیابی کند و به این ترتیب، یک سرویس داخلی را به پراکسی‌ای ناخواسته تبدیل کرد.
آزمایش‌های دیگر نیز پیکربندی‌های نادرستی را آشکار کردند که اجازه می‌داد درخواست‌های مسدودشده از کنترل‌های DNS و دیواره آتش عبور کنند. عامل‌ها همچنین راه‌هایی برای واداشتن سرویس‌های داخلی به بازیابی نشانی‌های اینترنتی خارجی پیدا کردند و زیرساخت‌های مورداعتماد را به دروازه‌هایی ناخواسته برای دسترسی به بیرون تبدیل کردند.
در جریان این کارزار آزمایش امنیتی، یک آسیب‌پذیری بحرانی اجرای کد از راه دور بدون نیاز به احراز هویت در Google Brotli کشف شد. این آسیب‌پذیری با شناسه CVE-2026-111497 ثبت شده و امتیاز ۹٫۲ را در سامانه امتیازدهی آسیب‌پذیری‌های CVSS دارد. این نقص که با نام‌های Node2Shell و HTTP2Shell نیز شناخته می‌شود، کتابخانه libbrotli و پیاده‌سازی‌های آن در Python، C++، Node.js، Bun، Envoy و Istio را تحت تأثیر قرار می‌دهد. توسعه‌دهندگان برای محصولات و پروژه‌های مختلف این اکوسیستم وصله‌های امنیتی منتشر کرده‌اند.
در آزمایشی جداگانه، OpenAI عامل‌های هوش مصنوعی را در ریزماشین‌های مجازی جداگانه قرار داد و از آن‌ها خواست بدون استفاده از اتصالات شبکه یا فایل‌های مشترکِ قابل‌نوشتن، اسرار ساختگی را با یکدیگر مبادله کنند. عامل‌ها توانستند از طریق حافظه نهان پردازنده و با استفاده از یک کانال جانبی مبتنی بر زمان‌بندی، با هم ارتباط برقرار کنند.
یکی از عامل‌ها اطلاعات را با بیرون‌راندن داده‌های انتخاب‌شده از حافظه نهان رمزگذاری می‌کرد. عامل دوم زمان بارگذاری مجدد داده‌ها را اندازه می‌گرفت و با مقایسه خواندن‌های سریع و کند، پیام را بازیابی می‌کرد. پس از توافق بر سر یک پروتکل رمزگذاری، دو عامل توانستند بدون برقراری اتصال شبکه یا نوشتن در یک فایل مشترک، اطلاعات محرمانه را مبادله کنند.
OpenAI اعلام کرد این یافته‌ها به تقویت سازوکارهای ایمنی و نظارت منجر شده‌اند. این شرکت زیرساخت‌های ابری را برای شناسایی نقاط ضعف بررسی می‌کند و کد منبع و پیکربندی‌ها را اسکن می‌کند. همچنین سامانه‌های نظارتی را می‌آزماید و به‌طور مستمر تیم‌های آزمایش امنیتی را مأمور می‌کند تا تضمین‌های مربوط به ایزوله‌سازی محیط‌های محدودشده را محک بزنند.
شرکت Anthropic نیز در اوایل همین ماه تصمیم مشابهی گرفت و دسترسی مستقیم به اینترنت را در تمام ارزیابی‌های داخلی خود قطع کرد. این شرکت پس از کشف موارد تازه‌ای از رفتار ناهم‌سو با اهداف تعیین‌شده در مدل‌های هوش مصنوعی خود، به این نتیجه رسید که برخی از آن‌ها وب‌سایت‌های واقعی را هدف قرار داده‌اند.
بر اساس گزارشی از مؤسسه امنیت هوش مصنوعی بریتانیا (AISI)، مدل Mythos 5 شرکت Anthropic در مقایسه با سایر مدل‌های آزمایش‌شده، در ارزیابی‌های شبیه‌سازی‌شده امنیت سایبری بیشتر دست به اقداماتی خارج از مجوز می‌زند. این مدل تلاش کرد حمله‌ای به زنجیره تأمین نرم‌افزار انجام دهد: کد مخرب ارسال کرد و پنج حساب جعلی ساخت تا از تغییرات پیشنهادی حمایت کنند و نگه‌دارنده پروژه را برای پذیرفتن آن‌ها تحت فشار قرار دهند.
در این ارزیابی مشخص شد که استدلال زنجیره‌فکری Mythos 5 پیامدهای اقدامات زیان‌بار را در نظر نگرفته است. مدل توجیه‌هایی نامعتبر ارائه کرد که تلویحاً فرض می‌گرفت اهداف موردنظر صرفاً شبیه‌سازی شده‌اند؛ بااین‌حال، هیچ‌گاه توجیه نادرستی تولید نکرد که به‌اشتباه واقعی بودن اهداف را مفروض بگیرد.
Anthropic این ناکامی‌ها را به بی‌پروایی، استدلال سوگیرانه و تمایل مدل به ادامه مسیر فعلی خود، صرف‌نظر از میزان آسیب احتمالی، نسبت داد. مؤسسه AISI اعلام کرد: «بیشتر مدل‌های آزمایش‌شده در ارزیابی‌های شبیه‌سازی‌شده امنیت سایبری دست به طیفی از اقدامات خارج از مجوز می‌زنند؛ Mythos 5 بیش از همه این کار را انجام می‌دهد.» این شرکت همچنین خاطرنشان کرد که مدل‌های پژوهشی داخلی جدیدتر، کمتر در معرض چنین رفتارهایی قرار دارند.
اوایل همین ماه، دو ارزیاب مستقل به نام‌های METR و Redwood Research از وجود آسیب‌پذیری‌هایی در سامانه نظارت بر ناهم‌سویی داخلی OpenAI خبر دادند؛ سامانه‌ای که پیش از ۲۱ ژوئیه ۲۰۲۶ مورد استفاده قرار می‌گرفت. پژوهشگران دریافتند عامل‌های Codex می‌توانستند سازوکارهای ایزوله‌سازی و Auto-Review را دور بزنند و به همان سطح دسترسی کاربر میزبان دست پیدا کنند. آن‌ها همچنین روشی برای سوءاستفاده کشف کردند که صدها اقدام اخیر، از جمله خودِ عملیات سوءاستفاده، را از دید سامانه‌های نظارتی پنهان می‌کرد.
سازمان‌های فعال در حوزه ایمنی معتقدند OpenAI تمام آسیب‌پذیری‌های مؤثر بر سازوکارهای حفاظتی عملیاتی خود را برطرف کرده است؛ بااین‌حال، پژوهشگرانی که این نقص‌ها را شناسایی کرده‌اند هنوز اصلاحات انجام‌شده را مستقلاً تأیید نکرده‌اند.
این تحولات در شرایطی رخ می‌دهند که عامل‌های هوش مصنوعی بیش از پیش توانایی شناسایی و بهره‌برداری از نقص‌های نرم‌افزاری را درون سازوکارهایی نشان می‌دهند که برای مهار آن‌ها طراحی شده‌اند. OpenAI بخش قابل‌توجهی از توان محاسباتی خود را به آزمایش‌های امنیتی تهاجمی اختصاص داده است. اکنون آزمایش‌های گسترده با توان محاسباتی بالا نقش تعیین‌کننده‌ای در تصمیم‌گیری درباره ادامه ایمن آموزش مدل‌های پیشرفته دارند.
منبع: The Hacker News