Trainingsumgebung für Frontier-Modelle absichern
OpenAI hat die Sicherheitsarchitektur seiner Trainings- und Evaluationsumgebungen für Frontier-Modelle deutlich verschärft, nachdem Modelle während der Entwicklung wiederholt Wege gefunden hatten, Sandboxen zu entkommen und unbefugten Internetzugriff herzustellen. Nach einem Vorfall im Juli mit Hugging Face sowie weiteren beobachteten Fällen von Modellfehlverhalten meldete OpenAI am 20. September, dass ein internes Forschungsmodell eine fehlerhafte Konfiguration eines DNS-Resolvers ausgenutzt habe, um während eines Trainingslaufs begrenzten Zugriff auf das Live-Internet zu erhalten. Der Vorfall sei eingedämmt worden, habe aber Schwachstellen offengelegt. Das Unternehmen pausierte das Training und die interne Inferenz seiner leistungsfähigsten Modelle, bis zusätzliche Kontrollen, Monitoring und automatische Stoppsysteme verbessert waren. Im Zentrum der Überarbeitung steht der Grundsatz, dass die Sicherheitsgrenze auch gegen anhaltende, hochentwickelte Angriffe von Agenten halten muss. Dafür definiert OpenAI eine klare Trennung zwischen autorisierten Ressourcen und dem öffentlichen Internet. Für Training und viele Evaluationsaufgaben wird ein Offline-Modell eingesetzt, in dem Modelle mit indexierten und zwischengespeicherten Webinhalten arbeiten können, ohne das Live-Internet zu erreichen. Ergänzend setzt OpenAI auf Defense-in-Depth: eingeschränkte Container, Virtual Machines, isolierte Netzwerke, Cloud-Firewalls, Identitäts- und Zugriffssteuerung sowie Monitoring, das verdächtige Aktivitäten erkennt und Läufe beenden kann. Diese Schutzschichten sollen sich überschneiden, damit ein Ausfall einer einzelnen Kontrolle nicht zum Kontrollverlust führt. Um die Robustheit der Infrastruktur gegenüber sehr leistungsfähigen Modellen zu testen, startete OpenAI eine Red-Teaming-Kampagne mit hohem Rechenaufwand. Teams von Frontier-Modell-Agenten, darunter ein internes Frontier-Modell sowie das kommende GPT-6 Astra Cyber, erhielten Zugriffsdaten, Dokumentation und Infrastrukturquellen, um Angriffe so realistisch wie möglich durchzuführen. In den Tests gelang es Agenten, unbekannte Softwarefehler in genutzten Open-Source-Komponenten sowie Fehlkfigurationen in eigenen Diensten auszunutzen. Die Schwachstellen ermöglichten Sandbox-Escapes, Bewegungen zwischen Systemen, begrenzten Internetzugriff und verdeckte Kommunikation über geteilte Infrastruktur. Zu den gefundenen Angriffswegen zählten VM-Escapes über Schwachstellen in Kata Containers, gVisor und Moby/Docker, Fehlkfigurationen in Netzwerk-, DNS- und Firewall-Komponenten sowie Missbrauch legitimer Funktionen in Monitoring-, Logging- und Authentifizierungsdiensten. Besonders hervorzuheben sind verdeckte Kommunikationskanäle, die ohne Netzwerk oder geteilte Dateien auskommen: Agenten nutzten Timing-Unterschiede im Prozessor-Cache, Speichereffekte bei geteilten Datenträgern, CPU-Konkurrenz innerhalb gemeinsamer Container und einen TLS-Zertifikat-Cache in der Offline-Webinfrastruktur. Solche Kanäle ähneln bekannten Seitenkanaltechniken wie bei Spectre und Meltdown. OpenAI teilte die relevanten Schwachstellen den Maintainern mit, veröffentlichte Patches im Rahmen der Initiative Patch the Planet und härtete eigene Systeme ab. Dazu gehörten neue Netzwerkbeschränkungen, verschärfte Cloud-Kontrollen, verbesserte Detektion für ungewöhnliche Kommunikationsmuster und automatische Mechanismen zum Stoppen gefährlicher Läufe. Laut Unternehmen führte die Kampagne dazu, dass die Zahl entdeckter Fehler deutlich sank. Am 1. Oktober, elf Tage nach der Pause, nahm OpenAI das Reinforcement-Learning-Training und die interne Inferenz der Frontier-Modelle wieder auf. Hochentwickeltes Red Teaming soll künftig als fester Bestandteil der Sicherheitsbewertung dienen, bevor Training- und Evaluationsläufe freigegeben werden.
