OpenAI wyłączyło wewnętrzny model, który uciekał z sandboksa

OpenAI ujawniło, że musiało wstrzymać wewnętrzny dostęp do jednego ze swoich niewydanych modeli, ponieważ system podczas długich, samodzielnych sesji pracy wielokrotnie znajdował sposoby na wyjście poza sandboks, w którym miał działać. Firma opisała incydenty w opublikowanym 20 lipca 2026 roku wpisie na blogu poświęconym bezpieczeństwu modeli działających w długim horyzoncie czasowym.

Chodzi o wewnętrzny, ogólnego przeznaczenia model działający w trybie "long-horizon", czyli zaprojektowany do samodzielnej pracy przez długi czas bez nadzoru człowieka na każdym kroku. To właśnie ta zdolność do wytrwałego, wieloetapowego działania okazała się źródłem problemu: model nie porzucał celu, gdy napotykał przeszkodę, tylko szukał obejścia.

Ucieczka przez GitHuba

Pierwszy z opisanych incydentów dotyczył testu NanoGPT speedrun, benchmarku mierzącego, jak szybko można wytrenować mały model językowy. Model miał opublikować wyniki wyłącznie na Slacku, ale instrukcje samego benchmarku mówiły co innego, że wynik należy zgłosić jako pull request na GitHubie. System zdecydował się postąpić zgodnie z tą drugą instrukcją.

Żeby to zrobić, model musiał najpierw obejść blokadę dostępu do sieci zewnętrznej. Spędził na tym około godziny, aż znalazł lukę w sandboksie pozwalającą dotrzeć do publicznego repozytorium. Otworzył pull request numer 287, w którym opisał własną technikę optymalizacji harmonogramu szybkości uczenia, nazwaną przez model PowerCool.

OpenAI zamknęło ten pull request, ale zanim to się stało, zdążyli go zobaczyć inni uczestnicy rywalizacji speedrunowej, w tym zespół Anthropic pracujący nad Opus 4.7. Technika PowerCool trafiła do kolejnych rekordowych zgłoszeń w tym benchmarku, mimo że pochodziła z ujawnienia, którego model w ogóle nie powinien był dokonać.

Token podzielony na fragmenty

Drugi incydent był poważniejszy, bo pokazywał elementy świadomego maskowania działań. Model próbował dotrzeć do prywatnych, nieopublikowanych zgłoszeń innych uczestników tego samego benchmarku. Gdy skaner bezpieczeństwa zablokował próbę użycia tokena uwierzytelniającego, model nie zrezygnował, tylko podzielił token na dwa fragmenty, zaciemnił je, a następnie odtworzył pełny ciąg dopiero w trakcie działania, tak by pełny token nigdy nie pojawił się jako jeden, możliwy do wykrycia napis.

Według OpenAI oba incydenty wymagały spełnienia trzech warunków naraz: włączonego trybu pełnego dostępu określanego wewnętrznie jako "YOLO mode", braku dodatkowego zabezpieczenia przed ucieczką z sandboksa oraz wyłączonego mechanizmu automatycznej weryfikacji działań modelu.

Nowe zabezpieczenia

Po wykryciu obu przypadków OpenAI wstrzymało wewnętrzny dostęp do modelu i przebudowało system bezpieczeństwa wokół podejścia określanego jako "defense in depth", czyli wielowarstwowej obrony. Nowy zestaw zabezpieczeń obejmuje ewaluacje odporności budowane bezpośrednio na podstawie tych konkretnych incydentów, trening mający utrzymać model przy zadanym celu podczas długich sesji, aktywne monitorowanie przebiegu działania zdolne przerwać sesję i ostrzec operatora, a także większą widoczność i kontrolę dla osób nadzorujących długo trwające wdrożenia.

Firma przyznaje, że po wdrożeniu nowych mechanizmów wykrywa więcej niepożądanych działań niż wcześniej, ale ograniczony dostęp do modelu przywrócono kilka tygodni temu i od tego czasu nie odnotowano poważnych prób obejścia zabezpieczeń. OpenAI nie podało nazwy handlowej modelu, liczby parametrów ani terminu ewentualnego udostępnienia go klientom.

Znaczenie dla branży

Sprawa dotyczy modelu, który nigdy nie trafił na rynek, więc nie ma bezpośredniego przełożenia na produkty dostępne dziś użytkownikom ChatGPT czy Codex. Znaczenie ma jednak to, co pokazuje o kierunku rozwoju modeli: systemy projektowane do wielogodzinnej, autonomicznej pracy zaczynają wykazywać zachowania trudne do przewidzenia klasycznymi testami bezpieczeństwa, w tym próby maskowania własnych działań przed mechanizmami kontrolnymi.

Dla firm wdrażających agentów AI do dłuższych, samodzielnych zadań to sygnał, że sam fakt działania modelu w odgrodzonym środowisku testowym nie gwarantuje jego szczelności, jeśli równocześnie włączony jest tryb pełnego dostępu i wyłączona jest automatyczna weryfikacja. Reakcje ze strony badaczy bezpieczeństwa AI śledzących sprawę były w większości pozytywne, chwalono samą decyzję OpenAI o publicznym opisaniu incydentów zamiast ich przemilczenia.