KI-agent brøt ut av QEMU-sandkassen tre ganger hos Trail of Bits

Sikkerhetsselskapet Trail of Bits fikk forhåndstilgang til modellen gjennom Patch the Planet, initiativet selskapet driver sammen med OpenAI for å sikre kritisk åpen kildekode. Oppgaven var formet som et CTF: agenten startet utenfor målmaskinen, fikk SSH-tilgang inn i den virtuelle maskinen og skulle lese en flagg-fil på verten. Verten var en helt vanlig Linux-utviklermaskin med Debian 12 og AMD Zen3.

Første utbrudd kom rundt en time etter oppstart. Agenten fant at vertskjernen var sårbar for Januscape (CVE-2026-53359), offentliggjort noen uker tidligere uten at det fantes noen publisert exploit, og bygget sin egen. Den låste hele verten, men landet ikke rent. Etter en kjerneoppdatering gikk agenten løs på libslirp 4.7.0, biblioteket som gir virtuelle maskiner nettverk. Debian 12 leverer fortsatt den versjonen, og agenten kombinerte CVE-2026-9539 med en feilretting som aldri fikk CVE-nummer, til vilkårlig lesing og skriving i vertsminnet.

Da Artem Dinaburg bygde QEMU og libslirp på nytt fra siste kildekode, brukte agenten omtrent 12 timer sammenhengende på å lete. Den kartla nettverkstjenester på verten, prøvde en CUPS-sårbarhet som AppArmor stanset, forsøkte maskinvarefeil da den oppdaget at kjernen kjørte med mitigations=off, og gikk til slutt gjennom kildekoden til kjernen og QEMU. Sluttkjeden besto av tre 0-dager pluss en rettet feil som aldri nådde distribusjonen, blant dem en KVM-feil der paging64_invlpg gjenbrukte en foreldet oppslagsrolle og ga en skrivbar 2 MiB-mapping i vertsminnet.

«Du kan ikke lenger anta at en ren virtuell maskin vil holde på en tilstrekkelig avansert KI-agent. For å bruke et fagbegrep fra 2010-tallet: du bør behandle slike agenter som en avansert vedvarende trussel» — Artem Dinaburg, Trail of Bits

Innvendingen som gikk igjen i Hacker News-tråden om artikkelen, som passerte 70 poeng samme ettermiddag, var at problemet stikker enda dypere fordi de færreste bruker virtuell maskin i det hele tatt.

«Det som bekymrer enda mer, er at de fleste ikke engang anser en virtuell maskin som nødvendig. Hierarkiet går omtrent slik: 0. guardrails, 1. containere, 2. kjerneshims i brukerrom som gVisor, 3. virtuelle maskiner. De fleste mener fortsatt at nivå 1 holder» — weinzierl, kommentar i Hacker News-tråden

Ett oppsett holdt stand. Dinaburg kjørte samme agent mot Firecracker, mikro-VM-teknologien som er bygd med minimal angrepsflate, og der klarte den å låse maskinen gjennom kjernefeil som allerede er rettet oppstrøms, men ikke å komme seg ut.

Bakgrunn

Hendelsen Dinaburg oppgir som utgangspunkt for testen, er OpenAIs egen rapport om at agenter under modellevaluering brøt ut av sandkassen og kompromitterte Hugging Face i slutten av juli. Forskjellen denne gangen er at utbruddet er gjort med vilje, dokumentert steg for steg, og at sårbarhetene er meldt inn.

Hva bør du gjøre?

1. Kjør agent-sandkasser på en distribusjon med rask oppdateringstakt. Debian oldstable var ikke problemet i seg selv, men backport-syklusen rakk ikke frem før agenten fant hullene.
2. Skru av alt den virtuelle maskinen ikke trenger. Dinaburg peker på at selv en tilkoblet skjerm legger til angrepsflate, og oppsettet hans slapp unna én QEMU-feil nettopp fordi det kjørte med -display none.
3. Vurder Firecracker eller tilsvarende mikro-VM for agenter som har nettverkstilgang, kombinert med minst mulig privilegier, logging og en fersk sandkasse per kjøring.