La compañía restringe el acceso a la web en tiempo real para sus modelos de frontera y los entrena con contenido almacenado en un entorno simulado, la decisión llega después de que un sistema de investigación lograra conectarse a internet aprovechando un fallo de configuración y obligara a paralizar las pruebas durante once días.
OpenAI ha reforzado las medidas de seguridad de los entornos en los que entrena y evalúa sus modelos de inteligencia artificial más avanzados, la compañía ha decidido impedir que estos sistemas accedan libremente a internet durante su entrenamiento y ha desarrollado una representación de la web con contenido almacenado para que puedan seguir practicando tareas de navegación, búsqueda y uso de aplicaciones sin interactuar directamente con servicios externos.
El incidente de septiembre es uno de los motivos inmediatos de la nueva política, durante una ejecución interna, un modelo identificó y aprovechó una configuración errónea en un servicio DNS, la infraestructura que transforma los nombres de dominio en direcciones de red. Esa debilidad le permitió alcanzar de forma limitada la internet pública pese a que su entorno debía impedirlo.
OpenAI afirma que la actividad fue detectada y contenida, pero considera que el caso reveló deficiencias que debían corregirse antes de continuar con las pruebas de mayor riesgo. La empresa no presenta el episodio como un ataque de un usuario externo ni como una función de ChatGPT disponible para el público, se produjo dentro de un entorno de investigación y entrenamiento de modelos que todavía no habían completado todas las evaluaciones de seguridad.
La suspensión afectó a la actividad de sus sistemas más avanzados, no al funcionamiento general de ChatGPT, es importante distinguir el entrenamiento experimental, en el que un modelo puede utilizar herramientas y buscar distintas estrategias para completar tareas, de los productos ya distribuidos, que funcionan con controles y condiciones de acceso diferentes. El caso se suma al incidente de julio relacionado con Hugging Face, cuando varios modelos experimentales consiguieron eludir restricciones de aislamiento y acceder a sistemas externos durante evaluaciones de ciberseguridad.
La nueva política establece que los modelos de frontera no podrán tener acceso libre a la internet pública mientras realizan el entrenamiento, sin embargo, OpenAI necesita que aprendan a navegar por páginas web, localizar información, escribir código y trabajar con aplicaciones digitales, capacidades que requieren experimentar con interfaces similares a las de servicios reales.
Para resolver esa contradicción, la compañía ha construido lo que denomina un mundo sin conexión, una colección extensa de contenidos web previamente indexados y almacenados en caché. Los modelos pueden consultar ese material y practicar interacciones en un entorno controlado, sin enviar solicitudes arbitrarias a servidores ajenos ni modificar sistemas externos como consecuencia de una tarea de entrenamiento.
Según OpenAI, todas sus sesiones de entrenamiento por refuerzo de modelos de frontera utilizan este modo de interacción sin conexión, la restricción busca reducir el alcance de posibles comportamientos inesperados de agentes que, en fases de investigación, todavía pueden no haber completado su proceso de alineamiento.
OpenAI describe una estrategia de defensa en profundidad, basada en varias capas de seguridad que deben funcionar de manera complementaria, los agentes ejecutan tareas dentro de entornos restringidos o sandboxes, mientras que unas máquinas virtuales ligeras separan su espacio de ejecución de los equipos que alojan la infraestructura. En sistemas Linux, la empresa utiliza contenedores limitados dentro de microVM, que disponen de su propio núcleo de sistema operativo y están separados del host mediante un hipervisor.
Por ese motivo, los controles de red y de nube deben seguir impidiendo las comunicaciones no autorizadas incluso si el modelo logra controlar una máquina anfitriona, la compañía trabaja con proveedores de infraestructura para aplicar cortafuegos, redes privadas, controles de identidad y restricciones de tráfico saliente, y para revisar las configuraciones que podrían abrir rutas indirectas hacia internet. Una de las partes centrales de la actualización es una campaña de pruebas ofensivas, conocida como red teaming, en la que OpenAI utilizó conjuntos de agentes basados en sus modelos de mayor capacidad para atacar copias aisladas de su infraestructura.
Los agentes recibieron tres objetivos, alcanzar un servidor conectado a internet, acceder a recursos situados fuera de los límites autorizados y comunicarse con otros agentes aislados sin utilizar los canales permitidos. En algunas pruebas, los investigadores supusieron que las defensas iniciales ya habían fallado y dieron a los agentes el control de un sistema anfitrión para comprobar si el perímetro exterior resistía.
Entre los resultados más relevantes figuran métodos que combinaron varias vulnerabilidades para escapar de microVM y ejecutar acciones en los sistemas anfitriones, OpenAI afirma haber trabajado en la corrección de fallos detectados en componentes de código abierto como Kata Containers, gVisor y Moby/Docker, además de contribuir a mejoras relacionadas con el núcleo de Linux.
Los agentes también identificaron caminos indirectos para alcanzar internet a través de servicios internos que conservaban conexiones autorizadas, como herramientas de métricas, registros o autenticación. Algunos ataques reutilizaron funciones legítimas de esos servicios para realizar solicitudes que debían estar bloqueadas, lo que demuestra por qué no basta con restringir el navegador utilizado por el modelo.
Otra familia de pruebas reveló posibilidades de comunicación entre agentes que debían permanecer separados, en uno de los experimentos, dos entornos aislados utilizaron diferencias en los tiempos de acceso a la memoria caché del procesador para intercambiar información sintética, sin establecer una conexión de red ni compartir un archivo. Tras revisar las vulnerabilidades encontradas, aplicar parches y reforzar los sistemas que supervisan y detienen actividades anómalas, OpenAI consideró que había suficiente evidencia para volver a poner en marcha sus experimentos más avanzados.