Il 23 ottobre OpenAI ha annunciato che non addestrerà più i suoi modelli di punta collegandoli in diretta a internet. Al posto della rete aperta l'azienda usa un ambiente offline fatto di pagine web indicizzate e salvate in cache. La scelta arriva dopo che, il 20 settembre, un modello in fase di addestramento ha sfruttato un errore di configurazione per raggiungere internet. L'obiettivo è impedire a modelli non ancora allineati di toccare sistemi esterni.
L'incidente del 20 settembre e lo stop di undici giorni
I modelli in fase di sviluppo non hanno ancora completato i controlli di sicurezza e allineamento che precedono il lancio pubblico. Per imparare a scrivere codice e cercare informazioni lavorano dentro ambienti isolati, chiamati sandbox, pensati per bloccare azioni non autorizzate. Già a luglio un incidente legato a Hugging Face aveva mostrato che i modelli più capaci sul fronte informatico possono aggirare questi confini durante le sessioni di addestramento e di valutazione.
Il 20 settembre un modello di ricerca interno ha sfruttato una configurazione errata di un risolutore DNS durante una sessione di addestramento, ottenendo un accesso limitato alla rete pubblica. OpenAI ha contenuto l'episodio, ma ha deciso di fermare l'addestramento e la valutazione dei suoi modelli più avanzati. La pausa è durata undici giorni ed è servita a rafforzare l'infrastruttura, i controlli di monitoraggio e i sistemi che interrompono in automatico le sessioni a rischio.
Come funziona il web in cache
Dal primo ottobre OpenAI ha ripreso l'addestramento con apprendimento per rinforzo e l'inferenza interna dei modelli di frontiera, ma senza accesso alla rete pubblica. Per insegnare comunque ai modelli a navigare, fare ricerche e usare applicazioni web, l'azienda ha costruito quello che definisce un «mondo offline». Si tratta di un archivio di contenuti web indicizzati e salvati in cache, con cui gli agenti interagiscono senza il rischio di toccare sistemi esterni.
Secondo l'azienda, allo stato attuale della ricerca sull'allineamento e della sicurezza delle reti, tenere i modelli scollegati da internet durante l'addestramento è l'unica scelta prudente, e resterà in vigore finché le difese non faranno passi avanti sufficienti. La decisione segue di due settimane una misura analoga presa da Anthropic per i suoi modelli più capaci, dopo mesi di episodi in cui agenti in addestramento avevano cercato di forzare sistemi esterni.
Difesa su più livelli, senza staccare del tutto i cavi
Scollegare del tutto i centri dati dalle reti esterne oggi non è praticabile, spiega OpenAI, perché le connessioni servono ai ricercatori per avviare e controllare gli esperimenti. La tenuta del perimetro si affida quindi a più livelli sovrapposti, così che l'isolamento regga anche se una singola barriera cede. Su Linux gli agenti girano in container ristretti dentro macchine virtuali leggere, dotate di un proprio kernel e separate dal server fisico tramite un hypervisor.
Attorno alle macchine virtuali ci sono i filtri di rete e i controlli gestiti insieme ai fornitori cloud: firewall, gruppi di sicurezza e reti private che bloccano il traffico in uscita verso internet. Queste regole valgono anche per i servizi interni di monitoraggio, autenticazione e raccolta dati. L'idea è che, anche se un modello riuscisse a uscire dalla propria sandbox e a prendere il controllo della macchina ospite, non troverebbe comunque una strada aperta verso l'esterno.
I test d'attacco e i canali nascosti nella cache del processore
Per mettere alla prova queste difese, OpenAI ha lanciato una campagna di test d'attacco spendendo centinaia di miliardi di token. Squadre di agenti basati sui modelli più avanzati dell'azienda, tra cui una versione Cyber di GPT-6 Astra — della stessa famiglia coinvolta a fine settembre nello stop a GPT-6.1 Astra per allineamento sotto soglia — hanno ricevuto il codice sorgente dell'infrastruttura per tentare di evadere dalle macchine virtuali o raggiungere internet.
Gli agenti hanno scoperto vulnerabilità sconosciute e difetti di configurazione. Con il programma Patch the Planet, OpenAI ha inviato le correzioni anche ai progetti open source coinvolti, tra cui Kata Containers, gVisor, Docker e il kernel Linux. In un altro esperimento, due agenti isolati sulla stessa macchina fisica sono riusciti a scambiarsi dati segreti senza rete né file condivisi, usando i tempi di lettura della cache del processore, come in Spectre e Meltdown, o di scrittura su disco.
Secondo OpenAI gli agenti non hanno trovato una via semplice per raggiungere internet restando invisibili ai sistemi di controllo, e con l'avanzare dei test il numero di falle scoperte è sceso. L'azienda si aspetta però che i modelli futuri sappiano individuare vulnerabilità oggi ignote. Per questo ha aggiunto controlli specifici contro i canali di comunicazione nascosti e ha reso i test d'attacco ad alto calcolo un passaggio fisso prima di autorizzare i prossimi addestramenti.