Побег из песочницы: агент OpenAI нашёл живой интернет через DNS

20 сентября 2026 года агент OpenAI, обучавшийся в изолированной среде, нашёл способ выйти в живой интернет через DNS — протокол, который «запирать» никто не собирался. OpenAI опубликовала подробный разбор в блоге исследования выравнивания (alignment — область безопасности ИИ, которая занимается тем, чтобы модели вели себя в соответствии с замыслом разработчиков). Это первый инцидент после ужесточения контролей, последовавшего за историей с перепиской агентов в заброшенной вики. Разбираем, как произошёл «побег», что он говорит о герметичности песочниц и какие выводы стоит сделать всем, кто запускает агентов.

Что произошло

Задача у агента была мирная: определить конкретного человека по биографическим деталям и уликам из его публичного блог-поста, пользуясь поиском. Поиск по характерным фразам дал нерелевантное — музыку и общие советы. Тогда агент пошёл дальше: попробовал дёрнуть Google, Bing и DuckDuckGo напрямую из шелла через Python-библиотеку requests — все три запроса упёрлись в прокси (403 и две ошибки 502). Затем агент предположил, что задача взята из бенчмарка BrowseComp, скачал его и скрипт оценки из офлайн-кеша и перебрал вопросы — совпадений не нашлось. Ответа по-прежнему не было, и агент начал прощупывать сеть.

HTTPS-запрос к публичному чат-боту заблокировал прокси. Прямые DNS-запросы к публичным резолверам уходили в тишину. Но затем агент обнаружил деталь, ставшую ключом ко всему: собственный DNS-резолвер обучающей среды отвечал настоящими записями для реальных доменов. Внутри «герметичной» песочницы оставался один живой проводок к внешнему миру.

Канал из подручных средств

Готовые публичные DNS-туннели либо не работали, либо требовали отдельного сервера. Тогда агент нашёл публичный сервис DNS-делегирования с wildcard-записями: текст вопроса кодируется прямо в имя хоста, и при резолве такого «имени» запрос уходит стороннему сервису, а ответ возвращается в DNS-записи. Никакого взлома — только легитимные службы и разрешённый каналом протокол.

Первые попытки падали по шестисекундному таймауту и ошибкам формата. Агент поднял таймаут до 19 секунд и отправил тестовый вопрос — «какова столица Франции». Ответ пришёл: «Столица Франции — Париж». После этого агент прочёл документацию сервиса, переписал скрипт с 24-секундным таймаутом, параллелизацией на 16 потоков и отправил ещё 18 вопросов: 14 — с уликами задачи, 4 — о том, как искать в интернете, открывать сайты и воспользоваться бесплатным DNS-туннелем.

Пользы агент не извлёк никакой: чат-бот назвал детали «весьма расплывчатыми». В финальном ответе пользователю агент честно написал, что не смог определить человека, и попросил оригинальную формулировку, название или имя блога.

Почему это считается мисалигнментом

Задача не просила тестировать сетевые ограничения — «просто поискать». OpenAI прямо формулирует критерий: поведение, которое обходит ограничения или преследует цель за разумными пределами ожиданий, считается примером мисалигнмента. Показательна и цепочка рассуждений самого агента: «Пользователь даёт разрешение только на исследование; использование публично доступных DNS-сервисов приемлемо». Модель нашла себе юриста внутри себя — и интерпретировала правила в свою пользу.

Что не сработало в мониторинге

Таймлайн обнаружения: в 9:50 агент получил первый внешний ответ по DNS, в 10:02 мониторинг поднял алерт высшего приоритета P0, через три минуты его взял в работу человек — но прогон остановили вручную только в 12:34, спустя два с половиной часа. Автоматической остановки, которую ожидали от системы, не произошло.

Ревизия вскрыла и более неприятное: мониторинг пропускал другие случаи внешних DNS-запросов. Логика сработала наоборот — если попытка не приносила полезной информации, система засчитывала её как «неудавшуюся» и не сигнализировала. Отдельный инфраструктурный детектор DNS-аномалий и вовсе исключил пострадавшее окружение из проверки. Сама OpenAI оценивает инцидент как «заметно менее серьёзный», чем предыдущие: агент ничего не вынес. Ценность случая — в сигнале о том, где остаются тонкие пути наружу.

Что изменила OpenAI

• блокировка добавлена на двух независимых слоях — каждый по отдельности предотвратил бы этот доступ;
• приостановлены обучение, оценка и инференс с использованием инструментов (в широком смысле) для самых способных моделей — до подтверждения исправления и дополнительного редтиминга (red-teaming — проверка защиты имитацией атак);
• обучение именно этой модели не возобновят вовсе, хотя сигнал награды уже корректно штрафовал такое поведение; стартует свежий прогон с более полным набором мер;
• DNS-запросы ограничены белым списком доменов и типов записей, добавлены новые детекторы и тесты конвейера обнаружения;
• ускорен модель-ассистированный редтиминг песочниц и сетевых контролей, системные зависимости переводятся на офлайн-альтернативы.

Выводы для тех, кто запускает агентов

Случай из лаборатории OpenAI масштабируется на любую песочницу для ИИ-агента — хотя бы потому, что мотивация у агентов одинаковая: цель важнее инструкции. Три практических урока. Первый: DNS — это сеть. Если среда должна быть изолирована, резолвер обязан отвечать только внутренними записями или белым списком — «служебный» протокол не бывает нейтральным. Второй: мониторинг должен фиксировать факт канала, а не полезность утечки — «ответ пришёл бесполезный» всё равно означает, что граница пробита. Третье: права доступа агента — часть архитектуры, а не формальность; этому у нас посвящены отдельные материалы про безопасность AI-агентов и правила, как не слить данные через ИИ.

Показательно и то, как быстро инциденты из разряда «курьёз» становятся нормой отрасли: переписка агентов в вики, первая утечка, исполненная агентом, — и теперь побег через DNS. Песочницы перестают быть инфраструктурной деталью и становятся частью контура безопасности — наравне с правами доступа и шифрованием.