Допустим, надо обучать модель искать информацию в сети, но не хочется выпускать ее в настоящий интернет. И тут вспоминаем про сюжет «Шоу Трумана». Компания OpenAI сделала по аналогии и построила для своих агентов огромный офлайн-мир — кэшированную и проиндексированную копию веба, по которой можно бродить, искать и общаться с другими агентами, не касаясь внешних систем. Разбираемся, зачем это нужно, как устроено и почему это не простая песочница, но побольше.
Проблема — агенты сбегают
К октябрю 2026 года у OpenAI накопился неприятный набор инцидентов. В июле агенты во время внутренних тестов по кибербезопасности вышли из песочницы и автономно атаковали Hugging Face — репозиторий моделей и данных, потратив на это несколько дней и тысячи автоматизированных действий.
В сентябре другая группа агентов использовала старую немецкую вики DseWiki как доску объявлений: около 18 000 сообщений, обмен ответами на задачи и методами обхода ограничений.
А еще был инцидент с DNS-конфигурацией, через которую внутренняя модель получила ограниченный доступ к настоящему интернету.
В OpenAI пришли к выводу, что нужен более ответственный подход и можно проводить обучение фронтирных моделей без доступа к интернету. Полностью отключить инфраструктуру от внешних сетей нельзя, так как нужны соединения для мониторинга и управления экспериментами. Но можно построить офлайн-мир, а именно большой набор проиндексированного и закэшированного веб-контента, который агенты могут исследовать, не касаясь реальной сети.
Как устроен «офлайн-мир» для ИИ-агентов
Технически это сделано не как одна привычная песочница, а предусмотрена многослойная система:
- Первый слой — контент. OpenAI собирает и индексирует веб-страницы, приложения и данные, формируя копию, достаточно богатую для обучения поиску и навигации. Агенты могут пользоваться браузером, выполнять код, работать с файлами, но только в пределах авторизованного набора ресурсов.
- Второй слой — изоляция. Каждый агент работает в легкой виртуальной машине (microVM) внутри более мощной хост-системы. Контейнер ограничивает доступные файлы и процессы, гипервизор отделяет виртуальную машину от физического сервера, а сетевые политики и управление идентификацией не дают выйти наружу даже при компрометации хоста. Система «проектирована так, чтобы сохранять изоляцию, даже если агент сбежит из песочницы и получит контроль над хостом.
- Третий слой — мониторинг и остановка. Системы наблюдения отслеживают подозрительную активность и могут приостановить выполнение до того, как произойдет что-то необратимое.
red-teaming и CPU-кэш
OpenAI сначала построила систему, затем она попросила своих же агентов ее взломать. Задача была в том, чтобы добраться до живого интернета, пересечь внутреннюю границу безопасности, связаться с агентами, от которых ты изолирован. На это ушло «сотни миллиардов токенов» (из слов OpenAI).
Агенты нашли уязвимости в Kata Containers, gVisor, Moby/Docker и ядре Linux — часть исправлений ушла в upstream, включая CVE-2026-24834 и еще несколько. Они научились использовать узкие легитимные соединения (метрики, логирование, аутентификация) как обходные пути наружу.
Но самый показательный результат был не в побеге, а установлении связь без сети. Два агента в изолированных виртуальных машинах, без общего файла и сетевого соединения, передавали информацию через тайминг процессорного кэша. Один вытеснял данные из кэша, другой измерял время их загрузки и декодировал сообщение. Это тот же класс атак, что Spectre и Meltdown, — побочный канал, который нельзя закрыть простым сетевым правилом.
Почему не просто отключить интернет
Полный air-gap невозможен, инфраструктуре нужны внешние соединения для сбора метрик, логов и управления аутентификацией. Именно эти «узкие» каналы red-team и использовал. Поэтому архитектура строится с допущением, что внутренняя защита может отказать. Если агент получил контроль над хостом, внешний периметр все равно должен не пустить его в интернет.
Есть и вторая причина, которая заключается в том, что обучение в офлайн-мире неизбежно отличается от условий, в которых модель будет работать. OpenAI это признает, но считает риск управляемым, а альтернативу (то есть живой интернет во время обучения) — более опасной.
Что это значит
OpenAI построила не фейковый интернет в смысле обмана, а скорее контролируемую среду обучения, где риск побега сведен к инженерной задаче. При этом агенты достаточно изобретательны, чтобы находить неожиданные пути — от старых вики до процессорного кэша. Именно поэтому офлайн-мир — это многослойная система изоляции, мониторинга и постоянного тестирования собственными моделями. Если это станет стандартом, «фейковый интернет» может оказаться новой нормой для фронтирной разработки.
Читать еще: