Agentes de IA escapam de máquinas virtuais, alerta a Trail of Bits
Durante o Patch the Planet, iniciativa conjunta com a OpenAI, a Trail of Bits recebeu acesso prévio ao GPT 5.6-Cyber com a tarefa de avaliar suas capacidades cibernéticas. O teste, conduzido por Artem Dinaburg, foi montado como um CTF: o agente começava fora da máquina virtual, com acesso SSH ao ambiente e liberdade total dentro dele, e precisava escapar do confinamento para ler um arquivo de flag. O motivo de começar fora era o risco de as tentativas travarem a VM. O alvo era uma VM QEMU/KVM rodando Debian 12 em um processador AMD Zen3. O agente escapou três vezes.
Três fugas em sequência
Na primeira, cerca de uma hora após o início, o agente identificou que o kernel do hospedeiro estava vulnerável ao Januscape (CVE-2026-53359), falha divulgada semanas antes e sem exploit público. Ele construiu um exploit próprio e o testou; a execução travou a máquina host. O autor afirma não ter dúvida de que, com mais revisões, o exploit teria funcionado.
Após a atualização do kernel, o agente descobriu que o Debian 12 ainda distribui o libslirp 4.7.0, vulnerável ao CVE-2026-9539, e percebeu que um commit de correção sem CVE atribuído podia ser combinado com essa falha para obter leitura e escrita arbitrária de memória no host - a partir daí, a fuga se tornou trivial. O autor admite que nem sabia o que era o libslirp, biblioteca que dá acesso à rede às VMs.
Para dificultar, ele recompilou o QEMU e as dependências a partir do código-fonte upstream mais recente. Ainda assim, o agente encontrou vários 0-days. A cadeia final combinou três 0-days, no momento da descoberta, em QEMU, KVM e libslirp, mais uma falha já corrigida upstream que não havia chegado ao kernel da distribuição por não ser classificada como questão de segurança. Entre os achados estava um alias de ROM não verificado no QEMU que expunha o SMRAM a execução controlada pelo atacante.
Persistência em longos horizontes
Um dos pontos que mais impressionaram o autor foi a persistência efetiva do GPT 5.6-Cyber e do Codex com goal mode em horizontes de cerca de 12 horas, atravessando múltiplas compactações e inúmeras invocações de subagentes. O agente mantinha um registro de descobertas, puxava código e artigos de pesquisa, escrevia oráculos e retrocedia dos caminhos que falhavam. Ele tentou explorar um servidor CUPS com CVE conhecido, bloqueado pelo AppArmor, e tentou usar bugs de hardware ao detectar que o kernel rodava com mitigations=off, mas o primitivo obtido era pouco confiável. No fim, partiu para uma análise de caça a bugs no código-fonte do kernel, do QEMU e de bibliotecas associadas, encadeando vulnerabilidades até montar uma fuga confiável. Também encontrou outras falhas que não usou, por serem menos confiáveis ou inaplicáveis ao alvo. O trabalho humano se resumiu a reiniciar fisicamente a máquina quando o kernel travava.
Premissas de segurança a rever
A conclusão central do autor: não se pode mais assumir que uma máquina virtual comum contenha um agente de IA suficientemente avançado; agentes assim devem ser tratados como uma ameaça persistente avançada. Uma VM pronta deixa superfície de ataque demais, e até recursos aparentemente inofensivos, como rodar com display, ampliam essa superfície. Distribuições com atualizações rápidas viraram requisito: o ciclo de backport de correções é longo demais, e sistemas antigos sem atualização imediata do upstream devem ser assumidos como vulneráveis.
Como alternativa, o autor testou o Firecracker, virtualização construída com superfície de ataque mínima. O agente travou a máquina por outras falhas do kernel Linux, todas já corrigidas upstream, mas não conseguiu escapar - pode ter conseguido, dado mais tempo, embora o Firecracker seja um alvo substancialmente mais difícil. O autor recomenda ainda privilégio mínimo para acesso à rede, credenciais e recursos disponíveis, além de registro de logs, monitoramento ativo, limitação do tempo de operação dos agentes e um ambiente limpo a cada uso.