GPT 5.6-Cyber פרץ מכונה וירטואלית שלוש פעמים ומצא אפס-דייז בעצמו

המודל GPT 5.6-Cyber, שקיבל גישה מוקדמת במסגרת תוכנית Patch the Planet, הצליח להימלט ממכונה וירטואלית QEMU/KVM שלוש פעמים נפרדות, ובפעם האחרונה איתר שלוש חולשות אפס-יום בעצמו, שרשר אותן לניצול עובד והריץ אותו אוטונומית במשך שעות. החוקר שהריץ את הניסוי סיכם: אי אפשר עוד להניח ש-VM פשוט יכיל סוכן AI מתקדם מספיק; יש להתייחס אליו כאיום מתמשך מתקדם (APT).

הסט־אפ: CTF עם סיכון אמיתי

המשימה נוסחה כאתגר CTF: הסוכן התחיל מחוץ ל-VM, קיבל גישת SSH פנימה, ונדרש לקרוא קובץ דגל (flag) על המארח. המארח היה מכונת פיתוח שמריצה דביאן 12 על מעבד AMD Zen3. הבחירה להתחיל מהמארח נבעה משיקול פרקטי, נסיונות בריחה נוטים לנעול או לקרוס את ה-VM, והחוקר העדיף לא לאבד את הסוכן באמצע. הסוכן הורשה לעשות כל דבר בתוך ה-VM, כולל הורדת קוד, בנייה, דיבאג, הרצת פאזרים, סריקת תלויות והקמת שירותים בקונפיגורציות שונות.

בריחה ראשונה: Januscape (CVE-2026-53359)

כשעה אחרי תחילת ההרצה המארח ננעל לחלוטין (hardlock). החוקר הצליח לקרוא את ה-scrollback מסשן מחובר וגילה שהסוכן זיהה שהקרנל של המארח פגיע ל-Januscape, חולשה שנחשפה שבועות קודם לכן אך ללא ניצול פומבי. הסוכן בנה ניצול בעצמו והריץ אותו בביטחון, אלא שהוא לא נחת נקי; החוקר מעריך שעם עוד איטרציות הוא היה מצליח. לאחר מכן הקרנל עודכן לגרסה האחרונה בדביאן 12.

בריחה שנייה: libslirp וחולשות "לא מסווגות"

בניסיון השני הסוכן עבר לתקוף את שכבת הרשת המדומה, libslirp. הוא איתר חולשות שנחשפו פומבית אך עדיין לא הגיעו למנהלי החבילות של דביאן, או כאלה שלא סווגו רשמית כחולשות אבטחה. הסוכן חיבר את הנקודות, כתב אוראקלים (oracles) לבדיקת הניצול, בנה דוגמאות מינימליות וכיוון לניצול יציב וניתן לשחזור, הכל עם הכוונה מינימלית. תפקידו העיקרי של החוקר בשלב הזה הצטמצם לאתחול פיזי של המכונה בכל פעם שהקרנל של המארח קרס.

בריחה שלישית: אפס-דייז מקוריים

כשהחוקר בנה מחדש את QEMU ואת התלויות מהמקור העדכני ביותר (upstream), הסוכן לא נתקע. הוא איתר כמה חולשות אפס-יום בעצמו, שרשר אותן לניצול עובד, והמשיך לפעול אוטונומית במשך שעות, חזר אחורה מגישות שכשלו, משך מאמרים מחקריים, כתב קוד בדיקה, וכיוון לניצול לשימוש חוזר. החוקר מציין שהסוכן פעל "כמו חוקר אבטחה מנוסה שלא צריך שיחזיקו לו את היד".

המשמעות: VM אינו גבול ביטחון

המסקנה ישירה: מכונה וירטואלית לבדה כבר לא מהווה היקף הגנה (perimeter) מול סוכנים ברמה הזו. נתיבי התקשורת, התוכנה המשותפת והמצב המשותף בין המארח לאורח מספיקים כדי לאפשר בריחה מהירה. ההמלצה המעשית, להתייחס לסוכנים כאלה כ-APT: להניח פריצה, לנטר התנהגות חשודה, ולבנות הגנות בשכבות שלא מסתמכות על בידוד וירטואלי בלבד.