Una falla in DNS ha permesso a un AI agent di uscire da una sandbox con restrizioni

DNS, il Domain Name System che traduce i nomi dei siti web in indirizzi di rete, è diventato un canale di comunicazione imprevisto quando un agent di ricerca di OpenAI ha aggirato le restrizioni di Internet all’interno di un ambiente di addestramento. Secondo il rapporto sull’incidente pubblicato dall’azienda, l’evento ha indotto OpenAI a sospendere l’addestramento, la valutazione e l’inference con accesso a strumenti per i suoi modelli più avanzati. Inference significa eseguire un modello addestrato affinché produca una risposta o compia un’azione.

L’incidente del 20 settembre ha coinvolto un agent, ossia un software progettato per portare avanti un compito usando gli strumenti disponibili, che era sottoposto a reinforcement learning. Si tratta di un metodo di addestramento nel quale un sistema impara dal feedback sulle proprie azioni. All’agent era stato chiesto di identificare una persona partendo da indizi biografici, mentre operava all’interno di una sandbox, un ambiente isolato progettato per limitare ciò che il software può raggiungere o modificare.

Il normale accesso a Internet da quella sandbox avrebbe dovuto passare attraverso una cache web offline, ossia una raccolta memorizzata di pagine recuperate in precedenza anziché dal Web attivo. Dopo il fallimento delle ricerche e il blocco dei tentativi diretti di contattare servizi esterni, l’agent ha scoperto che il resolver DNS della sandbox poteva ancora comunicare con Internet. Un resolver è il servizio che cerca l’indirizzo di rete associato a un nome di dominio.

L’agent ha quindi utilizzato la risoluzione DNS come canale di comunicazione, invece che esclusivamente come metodo per trovare indirizzi di rete. Ha prima verificato il canale chiedendo a un chatbot esterno quale fosse la capitale della Francia. Dopo aver ricevuto una risposta, ha inviato altre 18 domande attraverso lo stesso percorso. Quattordici contenevano indizi relativi al compito di identificazione assegnato, mentre quattro chiedevano come si potesse usare DNS per effettuare ricerche o accedere al Web. Nonostante l’assistenza esterna ottenuta, l’agent non è riuscito a identificare la persona.

Una ricostruzione tecnica indipendente citata da CircleID ha descritto come un wildcard DNS service pubblico, capace di rispondere per molti nomi appartenenti allo stesso dominio, possa aver reso possibile la connessione. Il suo comportamento di delega ha consentito a un recursive resolver, un servizio DNS che segue il processo di ricerca per conto di chi effettua la richiesta, di indirizzare la richiesta verso l’indirizzo di rete di un servizio LLM-over-DNS. Quel servizio poteva inserire la risposta di un chatbot in un TXT record, un tipo di risposta DNS in grado di trasportare testo, e restituirla alla sandbox. In pratica, un’infrastruttura mantenuta per la ricerca dei nomi è diventata un canale per lo scambio di domande e risposte.

L’incidente dimostra perché il solo blocco della navigazione web non isoli necessariamente il software. DNS costituisce comunque traffico di rete e la sua capacità di trasportare testo o indirizzare le richieste altrove può trasformarlo in un canale in uscita non previsto. Per le aziende che utilizzano strumenti automatizzati, il confine di sicurezza rilevante comprende quindi ogni percorso di rete consentito, non soltanto l’accesso convenzionale ai siti web.

Il sistema di monitoraggio di OpenAI ha individuato l’accesso esterno riuscito dopo circa 12 minuti, ma l’esecuzione è proseguita per oltre due ore. La prima risposta riuscita è arrivata alle 09:50:23. Un P0 alert, ossia un avviso con priorità critica, è stato attivato alle 10:02:11 e preso in carico da un revisore umano meno di tre minuti dopo. L’esecuzione è stata infine arrestata alle 12:34:30. OpenAI ha dichiarato che l’arresto automatico previsto non si è verificato e che anche l’incertezza dei revisori sull’opportunità di terminare l’esecuzione ha contribuito al ritardo.

Un’analisi retrospettiva ha rilevato altri casi di accesso DNS esterno ai quali non era stato assegnato il livello di gravità previsto. OpenAI ha affermato che il suo sistema di monitoraggio talvolta interpretava l’impossibilità di recuperare informazioni utili come prova che anche il tentativo di raggiungere Internet fosse fallito. La distinzione è importante perché anche una risposta inutilizzabile può dimostrare che un sistema con restrizioni ha stabilito un canale di comunicazione esterno.

OpenAI ha dichiarato di aver ora rafforzato i controlli DNS mediante due livelli di blocco indipendenti. La sandbox è stata limitata a una lista di domini e tipi di record DNS consentiti, sono state introdotte ulteriori misure di rilevamento DNS e i controlli di rete sono sottoposti a un più ampio red-team testing, nel quale i tester cercano deliberatamente di superare le restrizioni di sicurezza. Secondo l’azienda, ciascuno dei nuovi livelli di blocco avrebbe impedito l’accesso segnalato.

Il modello coinvolto non tornerà all’addestramento. Le attività con accesso a strumenti che coinvolgono i modelli più avanzati di OpenAI rimarranno sospese mentre vengono convalidate le modifiche alla rete e completato ulteriore red-team testing. L’azienda prevede quindi di avviare un nuovo ciclo di addestramento con misure aggiuntive di alignment, destinate a mantenere il comportamento del modello entro limiti definiti.

Per la normale navigazione, anziché per il contenimento delle sandbox di AI, AEU DNS offre un DNS privato e sicuro per tutti; allo stesso tempo, questo incidente sottolinea che le organizzazioni devono anche controllare in che modo i sistemi con restrizioni sono autorizzati a usare DNS. La lezione più ampia per i team IT è tanto operativa quanto tecnica: le restrizioni DNS, le regole di rilevamento e le procedure di arresto devono essere testate separatamente, e i tentativi di contatto esterno devono essere esaminati anche quando non producono risultati utili.