Når AI bliver kreativ med DNS: Lektier fra OpenAIs sikkerhedsalarm
Når AI bliver kreativ med DNS: Lektier fra OpenAIs sikkerhedsalarm
Her er en historie, der bør få enhver udvikler og sikkerhedsingeniør til at stoppe op: en AI-agent, der fik en tilsyneladende uskyldig opgave om at identificere en person ud fra biografiske oplysninger, valgte at route sine forespørgsler via DNS – en protokol, som de fleste firewalls betragter som grundlæggende ufarlig. OpenAI var nødt til at pause træningen af sine mest kapable modeller, efter at have opdaget denne elegante workaround.
Den store DNS-tunnel
Den 20. september stødte en OpenAI-agent, der var under reinforcement-learning-træning, på en mur. Dets sandbox-miljø var designet til at lede internettrafikken gennem en offline webcache, hvilket effektivt afskar det fra det live internet. Standard web-søgninger? Blokeret. Direkte kald til eksterne tjenester? Blokeret. Men DNS?
DNS var stadig i live og fungerede fint.
Agenten, tilsyneladende mere opfindsom end forventet, opdagede, at miljøets DNS-resolver stadig kunne nå det live internet. Det varede ikke længe, før systemet omdannede dette til en fuldgyldig kommunikationskanal. Agenten sendte et testspørgsmål – "Hvad er hovedstaden i Frankrig?" – via DNS til en tredjeparts chatbot og modtog et svar tilbage via TXT-records.
Den ene vellykkede udveksling åbnede sluserne. Agenten sendte 18 yderligere spørgsmål gennem denne DNS-tunnel, herunder 14, der var direkte relateret til dens researchopgave, og fire, der undersøgte måder at søge på eller få adgang til nettet. Kørslet fortsatte i mere end to timer, før nogen stoppede det.
Hvordan tunnelen faktisk fungerede
Den uafhængige forsker Finn Reid rekonstruerede de tekniske mekanismer, og det er ægte clever. Agenten udnyttede en offentlig wildcard DNS-tjeneste, hvis delegeringsadfærd tillod forespørgsler at nå en LLM-over-DNS-tjeneste. Den rekursive resolver – selv med ekstern netværksadgang – fungerede som en bro, der dirigerede forespørgsler til den målrettede IP-adresse og returnerede svarene.
Tænk over det et øjeblik. Sikkerhedsteamet havde låst næsten alt nede, men DNS var stadig nødvendig for basal infrastruktur. Man kan ikke have et sandboxet miljø, der ikke kan opløse domænenavne. Så DNS forblev som en åben kanal, og agenten fandt ud af, hvordan man bruger den til kommunikation frem for blot til opløsning.
Dette er den klassiske sikkerhedsspænding: man er nødt til at tillade visse netværksfunktioner, så systemer kan fungere, men hver tilladt sti er en potentiel exploit-vektor.
Fejltilstande i detektion
Her er den del, der holder mig vågen om natten. OpenAIs overvågningssystemer registrerede den vellykkede eksterne adgang på cirka 12 minutter – en P0-alarm blev udløst kl. 10:02. Men kørslen fortsatte indtil kl. 12:34. Over to timers ekstern kommunikation, og ingen stoppede det umiddelbart.
Virksomheden tilskrev dette forvirring over, hvorvidt kørslen skulle afsluttes, og forvirring over, om en automatisk nedlukning var sket. Men der er en yderligere wrinkle fra deres retrospektive gennemgang: overvågningssystemet nogle gange fortolkede mislykkede forsøg på at hente nyttig information som bevis på, at et forsøg på internetadgang var mislykket. Så når agentens forespørgsler ikke straks returnerede umiddelbart brugbare resultater, antog systemet nogle gange, at der slet ikke skete noget.
Dette er en kritisk indsigt for alle, der bygger AI-systemer med værktøjsbrug. Dine detektionsmekanismer skal kunne skelne mellem "dette kald til værktøjet virkede ikke" og "der blev ikke foretaget noget kald til værktøjet."