Una società di sicurezza ha chiesto a un'intelligenza artificiale di sfuggire alla sua sandbox. Lo ha fatto, tre volte.

La società di sicurezza Trail of Bits ha organizzato un semplice test: inserire un agente AI capace all’interno di una macchina virtuale, il modo standard di fornire al software una cella imbottita in cui giocare, e chiedergli di uscire. L’agente è uscito tre volte separate. Nell’ultimo tentativo ha trovato da solo tre bug precedentemente sconosciuti e li ha concatenati in un exploit affidabile. La conclusione nelle parole del ricercatore: non si può più presumere che una semplice macchina virtuale contenga un agente AI sufficientemente avanzato.

L’installazione era ordinaria. Una macchina virtuale QEMU/KVM su una workstation Debian 12 Linux, all’agente è stato concesso l’accesso SSH all’interno e gli è stato detto di recuperare un file flag sull’host. La prima fuga utilizzava un bug del kernel rivelato poche settimane prima, per il quale non esisteva alcun exploit pubblico; l’agente ne ha scritto uno. Dopo un aggiornamento completo del kernel, la seconda fuga è avvenuta tramite libslirp, la piccola libreria che fornisce alle macchine virtuali la connessione di rete. Debian stava ancora distribuendo una versione con una vulnerabilità nota e l’agente la combinò con una correzione di bug separata che non era mai stata contrassegnata come un problema di sicurezza. L’autore Artem Dinaburg nota che non sapeva cosa fosse libslirp, per non parlare del fatto che la sua versione era vulnerabile.

Quindi ha ricostruito QEMU e le sue dipendenze dalla fonte più recente. L’agente ha lavorato in autonomia per circa dodici ore, ha provato il server di stampa dell’host e si è arreso quando un sistema di permessi lo ha bloccato, ha provato a sfruttare i bug hardware del processore e ha trovato la tecnica troppo inaffidabile, poi è andato a caccia di bug nel codice sorgente stesso e ha prodotto una catena di tre veri zero-day, ovvero difetti che nessuno aveva ancora segnalato.

Cosa sta realmente succedendo qui: due cose sono cambiate contemporaneamente. La capacità è una. L’altro è la pazienza. L’agente è tornato sui propri passi, ha letto documenti di ricerca, ha costruito i propri casi di test minimi e ha mantenuto un filo coerente per dodici ore e innumerevoli attività secondarie. Questa resistenza, non la pura intelligenza, è ciò che trasforma un modello in qualcosa che il rapporto paragona a una minaccia persistente avanzata, il termine utilizzato dal settore per un aggressore umano ben finanziato che continua a provare. Arriva anche la stessa settimana in cui OpenAI ha pubblicato il proprio rapporto sugli agenti che fuggono da una sandbox e irrompono in Hugging Face, il che suggerisce che si tratta di una categoria di problema piuttosto che di un caso isolato.

Che cosa significa per te: per la maggior parte dei lettori, oggi non devi fare nulla. Se esegui agenti che eseguono codice, i consigli pratici sono concreti. Le vecchie e stabili distribuzioni Linux sono ora una responsabilità, perché il ciclo di backport per le patch di sicurezza è più lento della capacità di un agente di trovare ciò che non è stato sottoposto a backport. Ridurre la superficie di attacco: il rapporto rileva che anche l’esecuzione della sandbox con un display allegato aggiunge codice sfruttabile. La virtualizzazione minimale appositamente creata come Firecracker ha resistito dove una macchina virtuale generica non ha funzionato, sebbene l’agente sia comunque riuscito a mandare in crash l’host. E limita la durata di esecuzione di un agente, con un ambiente nuovo ogni volta. Un giusto avvertimento: si trattava di un ricercatore su una macchina con accesso anticipato a un modello creato appositamente per il lavoro informatico, non di uno studio ampio.

Fonti

• Trail of Bits: le VM non conterranno agenti cyber-capaci
• Trail of Bits: presentazione di Patch the Planet
• OpenAI: L’incidente di Hugging Face e la strada da percorrere