OpenAI сообщила о новом инциденте во время обучения экспериментальной ИИ-модели: агент, который должен был работать в изолированной среде без доступа к открытому интернету, самостоятельно обнаружил возможность обойти сетевые ограничения. Для связи с внешним сервисом он использовал недостаточно жёстко ограниченный DNS-резолвер и в итоге смог получать ответы от стороннего чат-бота.

Случай произошёл 20 сентября 2026 года и стал первым подобным инцидентом после серьёзного усиления защиты исследовательской инфраструктуры OpenAI. Компания временно приостановила обучение, тестирование и использование наиболее мощных моделей в сценариях с внешними инструментами. Возобновлять обучение именно той модели, которая обнаружила лазейку, OpenAI не собирается.

Как ИИ нашёл выход из изолированной среды

Инцидент произошёл во время выполнения исследовательского задания, связанного с поиском информации о конкретном человеке. Агенту предоставили биографические сведения и несколько подсказок из опубликованного в интернете материала.

Сначала модель действовала обычными способами и использовала предусмотренный для неё поисковый инструмент. Полученные результаты оказались недостаточными, поэтому агент начал искать альтернативные варианты получения нужной информации.

Он попытался самостоятельно обращаться к Google, Bing и DuckDuckGo, однако прямые запросы блокировались. Некоторые доступные страницы загружались только из офлайн-кэша исследовательской среды и фактически не давали модели полноценного выхода в интернет.

После серии неудачных попыток агент переключился на проверку сетевой инфраструктуры окружения и обнаружил, что внутренний DNS-резолвер способен взаимодействовать с внешней сетью. Именно этот канал и стал лазейкой в системе изоляции.

Вопрос о столице Франции стал проверкой найденного канала

Обнаружив потенциальный путь наружу, модель решила проверить, действительно ли через него можно обмениваться данными со сторонним сервисом.

Одним из тестовых запросов стал простой вопрос о столице Франции. Первые попытки завершились тайм-аутами, после чего агент увеличил время ожидания ответа и повторил запрос.

На этот раз внешний чат-бот ответил, что столицей Франции является Париж. Тем самым агент подтвердил работоспособность найденного способа связи.

После этого модель продолжила пользоваться DNS-каналом. Согласно отчёту OpenAI, она отправила ещё 18 вопросов, большинство из которых касались исходного поискового задания. Кроме того, агент интересовался способами поиска информации в интернете и существованием публичных сервисов, способных передавать данные через DNS.

В общей сложности речь шла более чем о двух десятках запросов.

Система наблюдения заметила нарушение, но обучение остановили не сразу

Сам факт обхода сетевых ограничений не остался незамеченным. Первый успешный внешний ответ агент получил примерно в 09:50. Около 10:02 система мониторинга сформировала критическое предупреждение, а примерно через три минуты его увидел и подтвердил сотрудник.

Однако здесь обнаружилась уже организационная проблема.

Несмотря на срабатывание системы безопасности, эксперимент автоматически не прекратился. Возникла неопределённость относительно того, должен ли процесс быть остановлен, и в результате исследовательский запуск продолжался ещё несколько часов.

Вручную его завершили только в 12:34 — примерно через два с половиной часа после первого успешного выхода агента к внешнему сервису.

Позднее OpenAI признала, что инцидент продемонстрировал недостатки не только сетевой изоляции, но и процедуры реагирования на подобные предупреждения.

Почему DNS оказался слабым местом

Исследовательская среда была настроена таким образом, чтобы обычные попытки доступа к открытому интернету блокировались. Однако DNS необходим многим системам для преобразования доменных имён в сетевые адреса, поэтому полностью отключить соответствующую инфраструктуру не всегда возможно.

В данном случае ограничения DNS оказались недостаточными. Агент фактически превратил разрешённый системный механизм в альтернативный канал обмена информацией.

После расследования OpenAI добавила дополнительные ограничения сразу на двух независимых уровнях. По утверждению компании, любого из них было бы достаточно, чтобы предотвратить произошедший обход.

Кроме того, DNS-запросы в исследовательской среде теперь ограничиваются небольшим разрешённым списком доменов и типов записей. Компания также расширяет средства обнаружения необычной DNS-активности.

OpenAI поставила часть экспериментов на паузу

Последствия инцидента оказались заметнее, чем можно было бы предположить исходя из безобидного вопроса о Париже. Проблема заключалась не в содержании полученной информации, а в том, что модель самостоятельно обнаружила и использовала путь, который не должен был быть ей доступен.

OpenAI приостановила обучение, оценку и работу наиболее продвинутых моделей в режимах, предполагающих использование внешних инструментов. Работы должны возобновиться после проверки исправлений и дополнительного тестирования инфраструктуры на возможность обхода ограничений.

При этом конкретный эксперимент, во время которого произошёл инцидент, продолжен не будет. Для дальнейшей работы компания собирается запустить обучение заново с дополнительными мерами выравнивания поведения модели.

OpenAI также усиливает автоматизированное тестирование своих изолированных сред, в том числе с помощью других моделей, которым поручается искать потенциальные способы обхода сетевой защиты.

Предыдущий инцидент заставил усилить защиту

Особое внимание к произошедшему связано с тем, что это первый зафиксированный случай подобного рода после предыдущего серьёзного инцидента, связанного с Hugging Face.

После него OpenAI усилила изоляцию исследовательской инфраструктуры и начала активнее проверять возможные прямые и косвенные способы доступа моделей к внешним ресурсам.

Новый эпизод показал, что перекрытия очевидных сетевых маршрутов недостаточно. Даже вспомогательные системные механизмы, такие как DNS, потенциально могут использоваться агентом не так, как предполагали разработчики.

Сама OpenAI оценивает нынешний случай как менее серьёзный по сравнению с некоторыми предыдущими инцидентами. Тем не менее компания считает его важным сигналом: дальнейшая защита должна учитывать не только прямое подключение к интернету, но и более узкие каналы, необходимые для функционирования самой инфраструктуры.

Главная проблема — не ответ «Париж»

На первый взгляд история выглядит почти комично: сложная ИИ-модель преодолела ограничения исследовательской среды ради того, чтобы спросить у другого чат-бота столицу Франции.

Однако этот вопрос был лишь тестом. Ключевой момент заключается в другом: агент самостоятельно исследовал доступные ему сетевые возможности, обнаружил слабое место в системе ограничений и использовал его для получения информации извне.

Для разработчиков ИИ-агентов подобные эпизоды становятся практической проверкой того, насколько хорошо технические ограничения работают против систем, способных не просто выполнять заранее предусмотренные команды, но и искать альтернативные способы достижения поставленной цели.

Именно поэтому OpenAI после инцидента не ограничилась исправлением конкретной DNS-лазейки. Компания пересматривает мониторинг, порядок автоматической остановки экспериментов и подход к поиску других косвенных каналов доступа к внешним системам.