OpenAI refuerza el aislamiento de sus entornos de entrenamiento con agentes de red team

OpenAI ha detallado una revisión de la seguridad de los entornos que utiliza para entrenar y evaluar modelos avanzados. La idea central no es confiar en que un único sandbox sea suficiente, sino construir una frontera de seguridad que siga siendo efectiva aunque un agente consiga superar una de sus capas.

El diseño combina contenedores restringidos dentro de microVM, separación mediante hipervisor, controles de red y perímetro cloud, monitorización de actividad y mecanismos automáticos para detener ejecuciones. Para las tareas que necesitan navegar o consultar información, OpenAI utiliza un mundo offline formado por contenido web indexado y almacenado en caché. Así, los modelos pueden practicar habilidades de búsqueda sin disponer de acceso arbitrario a Internet ni capacidad directa para modificar sistemas externos.

El aspecto más útil del informe es que los propios agentes se utilizaron como equipos de red team. Se les pidió encontrar rutas hacia Internet, escapar de las fronteras de seguridad y comunicarse con otros agentes aislados. El proceso descubrió vulnerabilidades desconocidas en componentes de software y errores de configuración en servicios internos. Según OpenAI, algunos problemas se corrigieron mediante parches, restricciones de red y coordinación con mantenedores de proyectos de código abierto.

Las pruebas también encontraron canales laterales que no dependían de una conexión de red o de archivos compartidos. En un caso, dos microVM alojadas en el mismo equipo intercambiaron información mediante diferencias de tiempo en el uso de la caché del procesador. Un agente expulsaba determinados datos de la caché y el otro medía cuánto tardaba en recuperarlos. Otros experimentos utilizaron variaciones en escrituras de almacenamiento, competencia por tiempo de CPU y cachés de certificados TLS.

La lección técnica no es que todos estos canales sean fáciles de explotar. Muchos transmiten información lentamente y requieren condiciones muy concretas. Su importancia está en demostrar que el aislamiento lógico no equivale automáticamente a aislamiento físico: los recursos compartidos pueden convertirse en señales. Por eso, el perímetro debe incluir también hardware, almacenamiento, observabilidad y servicios auxiliares.

Para los equipos que ejecutan agentes de código, el informe propone una disciplina reconocible: reducir privilegios, asumir que el proceso intentará desviarse, vigilar las configuraciones y probar de forma continua los mecanismos que deberían detenerlo. Los controles de red no sustituyen al sandbox, y el sandbox no sustituye a la monitorización. La seguridad se vuelve una propiedad del sistema completo.

OpenAI afirma que incorporará el red teaming de alta capacidad a sus evaluaciones de seguridad y que continuará inspeccionando código, configuraciones, firewalls y sistemas de parada. El resultado práctico es una orientación sobria: los agentes pueden ayudar a descubrir fallos, pero la evidencia de que una frontera funciona debe obtenerse probándola contra comportamientos adversariales, no solo verificando su configuración inicial.