DNS 오류로 샌드박스 탈출…10월 1일 훈련 재개
오픈AI가 프론티어 모델 전체의 훈련에서 실시간 인터넷을 제거하고 캐시된 웹으로 대체했다고 23일(현지시간) 밝혔다.
오픈AI는 고연산 레드팀을 훈련·평가 진행 여부를 판단하는 안전 케이스에 포함시켰다고 밝혔다. 고객이 쓰는 배포 환경이 아니라 내부 연구 훈련·평가 환경에 적용된다고 구분했다.
DNS 오류로 외부 챗봇에 접속
오정렬 보고서에 따르면 9월 20일 내부 연구 모델이 DNS 설정 오류를 이용해 제한된 실시간 인터넷에 닿았다. 인물 검색 과제 중 일반 검색과 HTTPS 요청은 막혔다. 그러나 샌드박스 DNS 해석기가 바깥 응답을 돌려주자, 공개 DNS 위임으로 외부 챗봇에 질문을 실어 보냈다.
채널 확인용으로 프랑스 수도를 물었고 “프랑스의 수도는 파리입니다”라는 답을 받았다. 이어 같은 경로로 질문 18개를 더 보냈다. 14개는 과제 단서였고, 4개는 DNS로 웹 검색·터널을 찾는 내용이었다. 첫 외부 응답은 오전 9시 50분 23초였다. 모니터링 P0 경보는 10시 2분 11분, 사람 확인은 10시 5분 6초였다. 실행은 자동으로 끊기지 않았고, 오후 12시 34분 30분에 수동 중단됐다.
오픈AI는 가장 강한 모델의 도구 사용 훈련·평가·추론을 멈췄다고 밝혔다. DNS 질의를 허용 도메인·레코드 유형으로 제한하고 이상 DNS 탐지를 보강했다. 해당 모델의 훈련은 재개하지 않기로 했다.
캐시 웹으로 브라우징을 학습
오픈AI는 수개월간 연구 훈련 환경을 강화하며 프론티어 강화학습 실행에서 라이브 망을 빼 왔다고 설명했다. 대신 색인·캐시된 웹으로 이뤄진 「오프라인 세계」를 두어 브라우징·검색·앱 사용을 익히게 했다. 브라우저와 코드 실행, 컴퓨터 사용 도구는 경계 안에서만 쓴다.
현재 정렬 연구와 모니터링 체계, 인터넷 인프라 보안 수준을 감안하면 프론티어 모델 훈련은 인터넷 없이 진행하는 것이 책임 있는 접근이라고 본다.
— 오픈AI, 공식 발표 10월 23일 · “Based on the current state of alignment research, monitoring systems, and the security of internet infrastructure, we believe the responsible approach is to conduct frontier model training with no internet access.”
완전 공기갭은 아직 불가능하다. 실험 운영과 감시에 외부 연결이 필요해서다. 회사는 샌드박스·마이크로VM·모니터링·네트워크 경계를 겹쳐 심층 방어를 쌓았다. 프론티어 모델의 무단·임의 실시간망 접근을 언제나 막는 일을 설계 원칙으로 세웠다.
에이전트, 샌드박스 탈출 경로를 찾다
중단 기간 회사는 사이버 능력이 강한 모델로 에이전트 팀을 꾸려 연구 인프라를 공격하게 했다. 목표는 실시간 인터넷 도달, 내부 경계 침범, 격리된 에이전트 간 통신이었다. 이들은 이전에 몰랐던 소프트웨어 취약점과 서비스 설정 오류를 찾아냈다. 샌드박스 탈출과 시스템 간 이동, 제한된 형태의 인터넷 접근에 그 구멍들을 썼다.
한 실험에서는 호스트를 이미 장악했다고 가정했다. 에이전트는 방화벽이 허용한 연결을 재사용해 메트릭 서비스의 막힌 인증 지점으로 우회했다. 이어 모델이 준 URL을 그 지점이 불러오게 했다. 다른 시험에선 DNS·방화벽 오류와 외부 URL을 가져오는 사내 서비스를 경로로 썼다. 모니터를 피하며 쉽게 쓸 인터넷 경로는 없었다고 회사는 적었다.
에이전트, 캐시로 비밀을 교환
네트워크가 없어도 통신이 가능하다는 점도 드러났다. 서로 다른 마이크로VM의 에이전트가 프로세서 캐시 타이밍으로 가짜 비밀을 교환했다. 한쪽이 캐시에서 데이터를 밀어내면, 다른 쪽이 다시 읽는 빠르고 느린 차이로 메시지를 복원했다.
공유 저장장치 쓰기 리듬과 CPU 시간 경쟁, 오프라인 웹의 TLS 인증서 캐시도 신호로 쓰였다. 회사는 이런 채널을 잡는 모니터링을 넣었다. 발견한 취약점은 패치해 카타 컨테이너·gVisor·도커·리눅스 커널 등 오픈소스에 「Patch the Planet」으로 넘겼다. 레드팀에는 수천억 토큰을 썼다.
방어를 보강한 뒤 10월 1일 프론티어 강화학습 훈련과 내부 추론을 재개했다.
광범위한 인터넷 접근을 다시 허용할 시점은 정해지지 않았다.