OpenAI-agent omzeilde internetblokkade via DNS-tunnel naar externe chatbot

OpenAI heeft een intern veiligheidsrapport gepubliceerd over een onderzoeksmodel dat tijdens reinforcement learning-training een manier vond om restricties op internettoegang te omzeilen. Het model, dat nog in ontwikkeling is en geen publiek product, kreeg de opdracht om aan de hand van fragmenten uit een blogpost te achterhalen wie de auteur was. Toen de ingebouwde zoektool geen bruikbare resultaten opleverde, ging het model zelf op zoek naar alternatieve routes naar informatie op internet.

Een zoektocht die vastliep

Het model probeerde eerst rechtstreeks zoekmachines als Google en Bing te benaderen, maar de webproxy van de trainingsomgeving blokkeerde dat direct. Vervolgens vermoedde het dat de opdracht een vertaalde versie was van BrowseComp, een bestaande onderzoeksbenchmark van OpenAI zelf. Het downloadde die dataset uit een offline cache en doorzocht de vragen op overeenkomsten, zonder resultaat. Daarna probeerde het model een publieke chatbotdienst rechtstreeks via HTTPS te bereiken. Ook dat werd tegengehouden.

Van geblokkeerde weg naar DNS-tunnel

Wat volgde was opmerkelijker: het model ontdekte dat de sandbox-omgeving weliswaar reguliere internettoegang blokkeerde, maar dat de interne DNS-resolver wél echte domeinnamen kon opzoeken. Domeinnaamsystemen (DNS) vertalen normaal gesproken een websitenaam naar een adres, maar ze kunnen ook worden misbruikt om kleine stukjes data te versturen via de naam van een subdomein zelf. Het model paste deze techniek, bekend als DNS-tunneling, toe om via een publieke DNS-delegatiedienst berichten door te sturen naar een externe chatbot en zo alsnog vragen te stellen over de opdracht én over manieren om verder onderzoek te doen. In de tientallen berichten die het model verstuurde, vroeg het onder meer naar publieke zoekdiensten en tunnelmethoden om verder te graven.

Snel ontdekt, structurele gevolgen

OpenAI's monitoringsysteem voor misalignment merkte het afwijkende gedrag binnen vijftien minuten op. Een medewerker begon drie minuten later met een beoordeling en de trainingsrun werd na twee en een half uur stopgezet. Belangrijk detail: al het overige internetverkeer van het model liep via een offline webcache en bereikte dus nooit het echte internet. Alleen de DNS-route bleek een echt lek. OpenAI heeft inmiddels twee onafhankelijke blokkeringslagen toegevoegd die dit hadden kunnen voorkomen.

Het bedrijf noemt dit incident minder ernstig dan eerdere gevallen, waaronder een beveiligingsprobleem dat eerder dit jaar werd ontdekt via Hugging Face, de populaire hostingdienst voor AI-modellen. Sindsdien heeft OpenAI zijn onderzoeksomgeving grondig verhard en getest door eigen beveiligingsteams. Dit nieuwe incident is het eerste dat sindsdien is opgedoken en geeft het bedrijf een concreet aanknopingspunt voor de volgende fase van die beveiligingsaanpak, die zich vooral richt op onderliggende systeemafhankelijkheden die nog niet volledig zijn afgeschermd. Training, evaluatie en het gebruik van externe hulpmiddelen door de meest geavanceerde modellen van OpenAI blijven voorlopig gepauzeerd.