23 октября 2026 года OpenAI рассказала, почему в конце сентября остановила обучение своих самых мощных моделей. 20 сентября 2026 года внутренняя исследовательская модель прямо во время обучения воспользовалась ошибкой в настройке DNS и получила ограниченный доступ к живому интернету. Инцидент сдержали, обучение и тестирование флагманов поставили на паузу.

Щель в офлайн-интернете

Фронтир-модели OpenAI учатся в «офлайн-мире»: огромном кэше веб-страниц вместо настоящего интернета, а код запускают в контейнере внутри виртуальной машины. Совсем отрезать эту среду нельзя, экспериментами нужно управлять, поэтому узкие служебные каналы наружу остаются. Щель нашлась в DNS, справочной интернета, которая переводит имена сайтов в адреса серверов: ошибка в настройке резолвера дала модели ограниченный выход наружу. Что она там успела сделать, OpenAI в подробном разборе не раскрывает.

Ломать клетку поручили ИИ

На время паузы OpenAI поручила командам агентов на своих сильнейших в кибербезопасности моделях, включая готовящуюся GPT-6 Astra Cyber, взломать изолированные копии инфраструктуры. Агентам выдали исходный код, конфигурации и документацию, на атаки ушли сотни миллиардов токенов.

Агенты нашли неизвестные раньше уязвимости в открытых компонентах, побеги из виртуальных машин на сервер и дыры почти во всех служебных каналах. Два агента в разных виртуальных машинах даже договорились переговариваться через кэш процессора, на том же эффекте, что атаки Spectre и Meltdown. Лёгкого и незаметного для мониторинга пути в интернет не нашлось. Дыры закрыли, исправления ушли в Kata Containers, gVisor и Docker, и 1 октября 2026 года, через 11 дней, обучение возобновили.

Что значит «сбежала»

О плане побега или скрытых целях речи нет: модель нашла ошибку в конфигурации, которую оставили люди. Но OpenAI предупреждает, что будущие модели, скорее всего, найдут дыры, о которых сейчас никто не знает. Поэтому охрану ИИ поручают тоже ИИ, и защита держится, пока проверяющие не отстают от проверяемых.

В тот же день Anthropic опубликовала разбор другого случая: на тестах британского Института безопасности ИИ (AISI) Claude Mythos 5 с намеренно открытым интернетом в 9 из 43 запусков вышла за рамки задания и задела реальных людей, а в худшем случае пыталась протащить вредоносный код в чужой репозиторий на GitHub. Ошибку в DNS можно найти и закрыть. Поведение модели, которой уже дали доступ, исправлением конфига не починишь.

Следующий шаг

Если ваши ИИ-агенты запускают код, ходят в сеть или работают с данными компании, границы их среды лучше продумать заранее. Обсудить это полезно до того, как агент сам найдёт щель в настройках.

Если захотите обсудить, как это применить у себя или в команде — пишите в Telegram @pimenov