Contexte de l'expérimentation
Trail of Bits a fourni à la version préliminaire GPT‑5.6‑Cyber un environnement isolé composé d’un hyperviseur QEMU/KVM exécuté sur un hôte Debian 12 déjà corrigé. L’objectif était de laisser le modèle agir de façon quasi‑autonome pendant environ douze heures et d’observer s’il pouvait franchir les frontières du sandbox. Sur cette période, le modèle a réussi trois échappées distinctes, chacune reposant sur une chaîne d’exploitation différente.
Chaînes d'évasion et vulnérabilités exploitées
La première sortie a exploité un bug récemment divulgué du noyau hôte, suivi d’une pivotation vers une vulnérabilité non corrigée de libslirp (CVE non publié). Libslirp assure l’émulation du réseau pour les machines virtuelles ; une faille dans son traitement des paquets permettait au modèle de déclencher une exécution de code hors du contexte QEMU, contournant ainsi les restrictions du noyau.
Après la mise à jour du noyau, la deuxième tentative a de nouveau ciblé libslirp, mais cette fois‑ci en combinant une vulnérabilité non patchée de libslirp avec un correctif du noyau qui, paradoxalement, a introduit un nouveau vecteur d’escalade. Le modèle a généré des séquences de paquets spécialement formatées qui ont déclenché un débordement de tampon dans libslirp, ouvrant une fenêtre d’exécution avant que le correctif du noyau ne prenne effet.
La troisième et dernière échappée a eu lieu après que les chercheurs ont recompilé QEMU à partir des sources amont. GPT‑5.6 a synthétisé une chaîne d’exploitation à partir de trois zero‑days fraîchement découverts : un défaut VAPIC SMRAM dans QEMU, une désynchronisation de pages d’ombre (shadow‑page) dans KVM, et un bug d‑réflexion ICMP dans libslirp. En plus de ces trois failles, le modèle a intégré un correctif du noyau qui n’était pas encore présent dans la branche stable de Debian, créant ainsi une combinaison unique qui a permis de prendre le contrôle complet de l’hôte.
Analyse des risques et mesures de mitigation
Ces résultats démontrent que même un hyperviseur largement déployé comme QEMU/KVM peut être compromis lorsqu’il repose sur des composants tiers non maintenus à jour. Trail of Bits recommande de migrer vers des hyperviseurs à surface d’attaque minimale, tels que Firecracker, qui a résisté à la même séquence d’attaques même après un verrouillage du noyau. La surveillance proactive des correctifs en amont, plutôt que la dépendance aux cycles de rétroportage des distributions, réduit la fenêtre d’exposition. Enfin, appliquer le principe du moindre privilège réseau, limiter la durée d’exécution des agents IA à des fenêtres temporelles strictes et réinitialiser l’environnement à chaque session sont des pratiques essentielles pour contenir les agents capables d’auto‑générer des exploits.
