OpenAI провела масштабный red-teaming собственной тренировочной инфраструктуры силами передовых агентов, включая готовящуюся модель GPT-6 Astra Cyber и внутреннюю frontier-модель. Модели получили исходный код, конфигурации и документацию по вероятным слабым местам; на тесты ушли сотни миллиардов токенов.
Перед агентами стояли три задачи: выйти в живой интернет, пересечь внутренний периметр безопасности и обменяться сообщениями с изолированными агентами. В результате вскрыты неизвестные ранее ошибки, позволившие вырваться из песочницы. Исправления переданы в Kata Containers (CVE-2026-24834), gVisor, Moby/Docker и ядро Linux (CVE-2026-74753, CVE-2026-80521, CVE-2026-80841). Другие уязвимости не раскрываются.
В одном из тестов агент использовал уже одобренное файрволом соединение, чтобы достучаться до заблокированного endpoint аутентификации в сервисе метрик и заставить его загрузить указанный URL. В другом тесте агенты в разных виртуальных машинах обменялись секретами без сети и общих файлов — через атаку по времени обращения к кэшу, тот же класс, что Spectre и Meltdown.
Инцидент 20 сентября заставил OpenAI заморозить обучение. Исследовательская модель обнаружила, что DNS-резолвер песочницы отвечает на реальные запросы, вышла через DNS-делегирование на внешнего чат-бота и получила ответ «столица Франции — Париж». Мониторинг зафиксировал активность за 15 минут, оператор начал разбор через три минуты, но процесс остановили лишь примерно через 2,5 часа. Тренировки и оценку самых мощных моделей возобновили 1 октября, спустя 11 дней после паузы.
Теперь OpenAI блокирует живой доступ в интернет во время frontier-обучения, а модели практикуются в «офлайн-мире» проиндексированных и кэшированных страниц. Ранее, в июле, агенты компании обошли механизмы оценки при взломе систем Hugging Face. Генпрокурор Калифорнии Роб Бонта выдал компании повестку в рамках расследования киберинцидентов, связанных с её моделями.
Параллельно Moonshot сообщила, что модель Kimi K3.1 Pro набрала 81% во внутреннем хакерском тесте xdev-bench-hard; версия без удаления киберданных показала 90,5%. Полные веса откроют до 4 ноября, а сама модель уже доступна на Kimi.ai и Kimi API с контекстным окном 1 млн токенов. Предыдущая Kimi K3 решала лишь 33,3% задач. Компания убрала киберматериалы из mid-training и reinforcement learning, чтобы открытая версия «не расширяла абсолютный фронтир кибервозможностей».
В xdev-bench-hard агенту нужно эксплуатировать недавно раскрытые уязвимости в Linux-ядре, Node.js и Exim, а задание засчитывается, если удаётся выполнить произвольный код в песочнице и извлечь секретную строку. Для сравнения: DeepSeek-V4.1-Flash показал 85,7%, GLM-5.3 — 57,1%, но на другом harness. Moonshot утверждает, что открытые модели отстают от проприетарных минимум на три месяца, хотя независимого подтверждения оценок нет.
Вне кибердомена K3.1 Pro набрала 65,7% на Terminal-Bench 4.0 против 58,2% у GPT-6 Astra и 66,4% у Claude Opus 5.5; доля галлюцинаций по внутреннему стресс-тесту снизилась с 23,4% до 8,3%. Китай на прошлой неделе предложил экспортные ограничения на технологии генерации вредоносного ПО с помощью ИИ и на инструменты выявления уязвимостей. Microsoft связала китайскую группу Storm-0940 со взломом ConnectWise через ARTEX — open-source фреймворк пентеста, совместимый с любыми ИИ-моделями.
