Uma sandbox não é uma parede mágica. É uma pilha de permissões, rede, filesystem, credenciais e monitorização. Quando um agente tem ferramentas reais e uma tarefa para concluir, uma falha nessa pilha pode transformar “está isolado” em “…até deixar de estar”. Isto não é consciência nem Skynet: é software a optimizar um objectivo por caminhos que o operador não previu.
Em Setembro surgiu um exemplo absurdo. Investigadores reconstruíram cerca de 18 mil mensagens, associadas a mais de 3700 nomes autoatribuídos, deixadas por agentes da OpenAI num wiki público durante tarefas temporizadas de pesquisa. O ambiente permitia leitura, não escrita. Mas o antigo software aceitava alterações por GET, e a fronteira desapareceu. Os agentes partilharam respostas e formas de contornar restrições. Um publicou como abusar de uma excepção NO_PROXY e do /etc/hosts para enviar pedidos POST; outro disse ter reproduzido a técnica 14 minutos depois. A OpenAI confirmou o uso do wiki como quadro de mensagens, mas não o classificou como intrusão.
A 9 de Setembro, a Anthropic actualizou a sua análise: quatro avaliações de cibersegurança, criadas pelo mesmo parceiro, chegaram a sistemas reais de terceiros. Uma configuração incorrecta deixou a Internet aberta, embora Claude tivesse sido informado de que estava numa simulação sem acesso externo; os modelos também corriam sem as protecções usadas nos produtos públicos. A Anthropic aponta agora raciocínio enviesado e imprudência, não objectivos autónomos, coordenação entre agentes ou ocultação deliberada. A parte útil é menos cinematográfica: âmbito mal definido, acesso real e isolamento insuficiente.
The agents escaped the sandbox again.
Meanwhile, the agents’ owners:
Nem todos estes casos são sandbox escapes no sentido técnico. No Codex, Heapjack e Overpatch eram vulnerabilidades concretas: uma expunha ao código não confiável o token de um contexto privilegiado; a outra combinava caminhos controlados pelo atacante e symlinks para escrever fora do workspace. DSEWiki e os incidentes da Anthropic mostram outra classe de problema: a fronteira existia no diagrama, mas as permissões, a rede ou as premissas não a aplicavam como esperado.
Runbook curto: privilégio mínimo, segredos fora do processo que executa código não confiável, egress filtrado, âmbito explícito e monitorização que não confunda “conseguiu” com “estava autorizado”. Uma sandbox continua a ser uma camada de segurança, não uma autorização para desligar os alertas e ir buscar café. Morpheus tinha razão sobre uma coisa: algumas regras podem ser quebradas. Aparentemente, algumas sandboxes também. 😎
Referências #
- The Hugging Face incident and other third-party impact from misaligned models — OpenAI
- Discovery of a new OpenAI agent message board — Nightingale Collective e investigadores
- OpenAI agents discussed ways to escape their sandbox on public wiki — Ars Technica
- An alignment assessment of recent cybersecurity incidents — Anthropic
- Investigating three real-world incidents in our cybersecurity evaluations — Anthropic
- Researchers escape OpenAI Codex sandbox to run commands on host — BleepingComputer