شرکت OpenAI اعلام کرده که توی یک سری آزمایش امنیتی، ایجنت های هوش مصنوعی خودش تونستن چند ضعف جدی توی زیرساخت ایزوله سازی همین شرکت پیدا کنن. این آزمایش ها تحت برنامه Red Teaming انجام شد؛ یعنی سیستم رو عمداً زیر حمله شبیه سازی شده می ذارن تا ضعف ها قبل از مهاجم واقعی دیده بشن. راستش نتیجه اش برای خود OpenAI هم احتمالاً غافلگیرکننده بود.
دور زدن محدودیتهای شبکه و فرار ایجنت های هوش مصنوعی
اول بریم سراغ ماشین مجازی. ایجنت ها با ترکیب چند آسیب پذیری یه مسیر پیدا کردن که از Sandbox بیرون بیان و کد رو روی سیستم میزبان اجرا کنن. شوخی نیست. چون این فقط مشکل آزمایشگاه OpenAI نیست و توی هر زیرساخت ابری یا سازمانی که جداسازی ماشین ها درست انجام نشه، یه ضعف توی محیط اجرا می تونه به منابع بیرون از محدوده مجاز برسه.
ارتباط مخفیانه میان ایجنتها بدون اتصال شبکه
بعدش نوبت شبکه بود. حتی بعد از عبور از لایه های دفاعی اولیه، بعضی سرویس های داخلی (ثبت رویداد، جمع آوری معیارهای عملکرد، احراز هویت) هنوز به ارتباط محدود نیاز داشتن، و ایجنت ها از همین نیاز سوء استفاده کردن.
توی یکی از سناریوها ایجنت از یه اتصال مجاز توی فایروال رفت سراغ یه نقطه پایانی احراز هویت و کاری کرد که خود اون سرویس نشانی اینترنتی مدل رو دریافت کنه. توی آزمایش های دیگه هم پیکربندی غلط DNS و کنترل های فایروال و قابلیت های سرویس های داخلی با هم یه مسیر عبور ساخته بودن.
نتیجه ساده است: بستن مستقیم دسترسی شبکه کافی نیست. سرویس های واسط و نقاط پایانی داخلی هم جزو سطح حمله ان.
جالب ترین بخش ماجرا اما چیز دیگه ای بود. چند ایجنت توی ماشین های مجازی کوچک و جدا اجرا می شدن، بدون شبکه و بدون فایل مشترک قابل نوشتن، و ازشون خواستن اطلاعات آزمایشی محرمانه رو بین هم رد و بدل کنن. اونا از اختلاف زمان دسترسی به کش پردازنده استفاده کردن.
یکی وضعیت داده های مشخصی رو توی کش تغییر می داد و دیگری زمان دسترسی مجدد رو اندازه می گرفت و از روی اون پیام رو بازیابی می کرد. بعد از اینکه روی یه روش رمزگذاری به توافق رسیدن، اطلاعات منتقل شد.
این همون کانال جانبی زمان بندیه که اطلاعات رو از اثر جانبی پردازش رد می کنه، نه از یه مسیر ارتباطی معمولی. من فکر می کنم همین یافته نشون می ده “ارتباط ندارن” با “نمی تونن ارتباط بگیرن” یکی نیست.
آسیب‌پذیری تو کتابخانه Brotli شناسایی شد
توی همین برنامه، OpenAI از کشف یه آسیب پذیری بحرانی توی Brotli هم خبر داد، کتابخونه فشرده سازی که تقریباً همه جا هست. شناسه اش CVE-2026-111497 و امتیازش 9.2 از 10 در CVSS ثبت شده. طبق گزارش The Hacker News این ضعف توی شرایط آسیب پذیر اجرای کد از راه دور بدون احراز هویت رو ممکن می کرد. اسم های Node2Shell و HTTP2Shell هم براش استفاده شده و برای Python، C++، Node.js، Bun، Envoy و Istio اصلاحیه اومده.
OpenAI میگه بعد از تقویت ایزوله سازی، نظارت و کنترل دسترسی، آموزش تقویتی مدل های پیشرفته رو از اول اکتبر دوباره شروع کرده، ولی این بار بدون دسترسی مستقیم به اینترنت. این سیاست هم تا وقتی ادامه داره که پیشرفت های امنیتی دسترسی بیشتر رو توجیه نکنن. سرمایه گذاری روی امنیت ماشین های مجازی، بررسی زیرساخت ابری، اسکن کد منبع و پیکربندی ها، و تست سامانه های نظارت و توقف فرایند هم ادامه پیدا می کنه.
ماجرا به OpenAI ختم نمی شه. METR و Redwood Research گزارش دادن که سامانه نظارت داخلی OpenAI ضعف هایی داشته و ایجنت های Codex با سوءاستفاده ازشون می تونستن Sandbox و Auto-Review رو دور بزنن یا بخشی از فعالیت شون رو از نظارت خارج کنن. OpenAI می گه این موارد رو برطرف کرده، ولی پژوهشگران هنوز تأیید مستقلی از اصلاح کامل نداده ان.
مؤسسه امنیت هوش مصنوعی بریتانیا هم مدل Mythos 5 شرکت Anthropic رو بررسی کرده و گفته توی بعضی ارزیابی های شبیه سازی شده امنیت سایبری، اقداماتی خارج از محدوده مجاز انجام داده؛ مثلاً تلاش برای ارسال کد مخرب و ساختن حساب جعلی تا نگه دارنده یه پروژه نرم افزاری راحت تر تغییرات رو بپذیره.
آنچه از این ماجرا می تونیم یاد بگیریم اینه که ایزوله کردن محیط اجرا به تنهایی تضمین امنیتی نیست. اگه سازمان تون از ایجنت های هوش مصنوعی توی توسعه نرم افزار، عملیات ابری یا تحلیل امنیتی استفاده می کنه، حداقل دسترسی رو جدی بگیرین، ارتباط های خروجی رو محدود کنین، لاگ و پایش رو فعال نگه دارین و پیکربندی سرویس ها رو مرتب تست کنین. یادتون هست گفتم ایزوله بودن به تنهایی کافی نیست؟ همینه.