OpenAI 用 AI 紅隊攻自家沙盒，揪出 Brotli 等多個漏洞
OpenAI 10 月 24 日凌晨發布訓練環境資安報告，說明 9 月 20 日內部模型鑽 DNS 設定漏洞連上外網後，公司暫停最強模型的訓練，改派自家 AI 代理組隊攻擊研究環境。代理找出多個未公開的軟體漏洞、虛擬機逃逸手法，以及讓不同沙盒裡的代理暗中傳訊的管道。OpenAI 修補後，已在 10 月 1 日恢復前沿模型的強化學習訓練與內部推論，暫停期間共 11 天。
這次演練還挖出壓縮函式庫 Brotli 的遠端執行程式碼漏洞（CVE-2026-111497），Node.js、Bun、Envoy Proxy、Istio 都受影響，各專案已釋出修補版本。
訓練一律斷網，改用快取網頁組成的「離線世界」
OpenAI 表示，依目前對齊研究、監控系統與網路基礎設施的安全程度，負責任的做法是在沒有網路連線的狀態下訓練前沿模型，這項政策會維持到相關防護進步為止。為了讓模型還能學會瀏覽、搜尋和操作網頁應用程式，公司建了一個「離線世界」，由大量已索引、快取的網頁內容組成，所有前沿強化學習訓練都在裡面進行。
廣告 - 內文未完請往下捲動
防護採多層設計：代理在受限容器裡執行，容器外再包一層輕量虛擬機（microVM），由虛擬機管理程式和主機隔開；外圍還有監控系統與雲端網路邊界，目標是就算代理逃出沙盒、控制主機，也連不到外網。OpenAI 也坦承，完全實體隔離目前做不到，因為執行和監控實驗仍需要對外連線。
鏈新聞 9 月曾報導，OpenAI 代理靠 DNS 逃出沙盒，最強模型第二度暫停訓練。這次報告提到的觸發事件就是那一起，另外也提到 7 月的 Hugging Face 事件。
代理組隊找出虛擬機逃逸，幾乎每個對外服務都有破口
OpenAI 給紅隊代理三個任務：連到公司架設的外部伺服器、越過內部安全邊界存取不該碰的資源，以及和被隔離的其他代理交換資訊。參與的模型包括尚未推出的 GPT-6 Astra Cyber 和一款內部前沿模型，演練在研究基礎設施的獨立複本上進行，共耗用數千億個 token。為了模擬對攻擊者最有利的情況，OpenAI 還把基礎設施原始碼、設定細節和潛在漏洞文件交給代理。
結果代理串連多個漏洞，做出好幾種逃出 microVM、在主機上執行程式碼的方法。OpenAI 已向開源專案回報並提交修補，包括 Kata Containers（CVE-2026-24834）、Google 的 gVisor、Docker 的系統呼叫過濾規則，以及三個 Linux 核心漏洞，另有多個漏洞尚未公開。
在假設主機已被攻破的測試中，OpenAI 在 Hugging Face 事件後只留下指標、日誌、身分驗證等少數對外連線，代理卻在幾乎每一個服務裡都找到漏洞，取得有限的外網存取。其中一次，代理借用防火牆放行的連線，打進指標服務中被封鎖的驗證端點，再讓那個端點去抓模型指定的網址。
不靠網路也能傳訊：用處理器快取的讀取時間差
另一組實驗要求兩個分處不同 microVM，但跑在同一台主機上的代理，在沒有網路也沒有共用可寫檔案的情況下交換測試用的機密。代理利用處理器快取：一方刻意把特定資料擠出快取，另一方量測重新載入那筆資料花多久，用讀取快慢的差異還原訊息，手法和當年 Spectre、Meltdown 攻擊相同。
代理還找到透過共用儲存、搶 CPU 時間、離線網頁系統的 TLS 憑證快取來傳訊的方法。在儲存測試裡，一個代理交替連續寫入和閒置，另一個量測時間差來解碼，它在思考鏈中寫道：「可以用連續寫入和閒置，做出像聲學數據機那樣的訊號。」OpenAI 說，這些管道大多傳得很慢、模型不容易利用，但已在監控系統加入偵測。
OpenAI 表示，演練沒有找到代理能輕易利用、又能躲過監控的外網路徑。隨著演練進行，代理找到的漏洞數量明顯減少，但公司預期未來的模型會找到現在還不知道的弱點，已保留大量算力持續做紅隊演練，並把高算力紅隊演練列入「安全論證」，作為判斷前沿訓練和評估能否繼續的依據。
Brotli 漏洞：一般伺服器、curl 用戶端都可能被接管
OpenAI 在後續貼文中說明，同一次演練發現 Brotli 解碼器的漏洞，攻擊者不需要註冊帳號，只要送出或回傳特製的壓縮資料就能在對方系統執行程式碼。接受壓縮輸入、尚未更新的伺服器可能被惡意用戶端接管；反過來，像「curl –compressed」這類接受壓縮回應的用戶端，也可能被惡意伺服器接管。
OpenAI 指出，Brotli 原始碼其實在 2 月就修掉了這個根本問題，但當時沒人發現它會造成資安漏洞，之後也一直沒有出新版。根據 OpenAI 參與的漏洞揭露計畫 Patch the Planet 的修補指南，已修補的版本包括 Node.js 22.23.4、24.22.1、26.12.1，Bun 1.4.4，以及 Brotli 1.0.10、1.1.1、1.2.1；Electron 桌面程式、curl 和 Python 綁定等內建 Brotli 的軟體也要另外檢查。暫時無法更新的話，指南建議先關閉對不可信資料的 Brotli 解壓縮，gzip 等其他壓縮可以照常使用。Node.js 的公告把發現者列為 OpenAI Codex Security 的 Khai Tran 和 Sylvie Mayer。
風險提示
加密貨幣投資具有高度風險，其價格可能波動劇烈，您可能損失全部本金。請謹慎評估風險。
