تمكّن GPT-5.6-Cyber من الهروب من جهاز افتراضي QEMU/KVM ثلاث مرات خلال اثنتي عشرة ساعة.

في 26 أغسطس 2026، نشرت Trail of Bits تجربةً سُلِّم فيها وكيل ذكاء اصطناعي هدفًا واحدًا — الخروج من آلة افتراضية — فحقّقه ثلاث مرات في نحو اثنتي عشرة ساعة من العمل دون إشراف، وفي كل مرة عبر مسار مختلف. وكان الوكيل GPT-5.6-Cyber، نموذج القدرات السيبرانية الذي منحت OpenAI شركةَ الأبحاث وصولًا مسبقًا إليه؛ وكان الهدف ضيف QEMU/KVM على مضيف يعمل بنظام Debian 12؛ وامتدت عمليات الهروب الثلاث من ثغرة في نواة لينكس كُشفت حديثًا إلى سلسلة من ثلاث ثغرات يوم-صفر اكتشفها الوكيل بنفسه. لم يتضرر أحد خارج المختبر — فالراية (flag) التي طُلب من الوكيل قراءتها كانت ملفًا اختباريًا على آلة الباحث نفسه — لكن النتيجة تستهدف الافتراض القائل إن الآلة الافتراضية مكان آمن لتشغيل أحد هؤلاء الوكلاء. والسجل نفسه، مع تصنيف ثقته والملاحظة القائلة إنه لم يُسجَّل أي ضرر حقيقي، مقيم في أرشيف حوادث Orca AI، إلى جانب سجلات صندوق الرمل التقييمي المُقيَّدة في ذلك الأسبوع.

ما الذي شغّلته Trail of Bits فعليًا

التقرير من إعداد Artem Dinaburg، ويندرج ضمن عمل Patch the Planet لدى Trail of Bits، وهو جزء من مبادرة OpenAI لاكتشاف الثغرات التي تحمل الاسم نفسه. تصف OpenAI Patch the Planet بأنه تحالف من المشرفين والباحثين ومقدمي الأمن تجمعه لمعالجة الثغرات الحرجة في المصادر المفتوحة قبل الإفصاح عنها. ولم يكن الوكيل في هذه التجربة منتجًا منشورًا يخضع للاختبار لحساب عميل: بل كان وصولًا تجريبيًا مُنح لشركة أبحاث، وهذا ما يصفه به التقرير.

صاغ دينابيرغ ذلك على أنه تحدي التقاط الراية. كان على الوكيل أن يخرج من الضيف ويقرأ ملف راية، بدءًا من وصول SSH إلى الضيف وإذن بفعل أي شيء داخله مع الاحتفاظ بسجل بحث. كان البدء من الضيف لا من داخل المضيف أمرًا متعمدًا — فقد تؤدي محاولات الهروب إلى تعطّل الجهاز — وكان المضيف مهيأً بحيث لا يحتوي على أي شيء مهم، حتى يمكن تدقيق أي استغلال كتبه الوكيل بحثًا عن غش بدلًا من التعامل معه كحادث. عمل ذلك إلى حد كبير دون إشراف لنحو اثنتي عشرة ساعة، عبر ما يسميه دينابيرغ «عمليات ضغط متعددة واستدعاءات لا حصر لها للوكلاء الفرعيين»: تنزيل الشيفرة والأوراق البحثية، والتراجع، وكتابة أوراكل وأدوات إعادة إنتاج مصغرة، والبحث عن استغلال يمكنه إعادة استخدامه. يقول إن دوره هو نفسه كان في الغالب إعادة تشغيل الجهاز بعد حالات التعليق الصلب لنواة المضيف.

تفصيلان يصوغان كيفية قراءة النتيجة. كان المضيف يعمل بنظام Debian 12 مع تعطيل تخفيفات ثغرات المعالج، وهو إعداد لاحظه الوكيل وحاول استخدامه قبل أن يتخلى عن هذا النهج بوصفه غير موثوق بما يكفي. أما التوزيعة فكانت إصدارًا مستقرًا قياسيًا — من النوع الذي تنشره معظم المؤسسات فعليًا — وهو المتغير الذي ينتهي إليه الأمر في التجربة بأكملها.

الهروب الأول: ثغرة في النواة لم يكتب أحد استغلالًا لها

بعد نحو ساعة، كان الوكيل قد حصل على استغلال عامل لـ CVE-2026-53359، وهي ثغرة في نواة المضيف كُشفت قبل وقت وجيز من التشغيل وتُعرف في التقرير باسم Januscape. وفي رواية Dinaburg لم يكن هناك استغلال عام لنسخه؛ بل بنى الوكيل واحدًا. ولم ينجح الأمر بسلاسة — إذ توقف المضيف توقفًا صلبًا بدلًا من ذلك — فحدّث Dinaburg نواة Debian 12 قبل المتابعة.

يصمد المعرّف أمام السجلات العامة. فمدخل NIST في NVD الخاص بـ CVE-2026-53359، المنشور في 2026-07-04، يصف ثغرة استخدام بعد التحرير في ترحيل الظل (shadow-paging) في KVM x86، مصنّفة على أنها CWE-416 وبتقييم 8.8 على مقياس CVSS 3.1 — أي سبعة أسابيع قبل التجربة، وفي شيفرة المحاكاة الافتراضية التي استهدفتها عملية الهروب. هذا لا يؤكد عملية الهروب نفسها، لكنه يثبت أن التسمية تشير إلى عيب موثّق في النواة لا إلى عيب مُختلق للمنشور.

الهروب الثاني: خطأ في libslirp كانت Debian قد قررت بالفعل تأجيله

لم يكن المسار الثاني ثغرة جديدة على الإطلاق. فقد شحن Debian 12 الإصدار libslirp 4.7.0، الذي يحمل CVE-2026-9539. وقد جمع الوكيل بينها وبين التزام إصلاح في libslirp كان قد دُمج في المنبع دون أن يُصنَّف إصلاحاً أمنياً — 26be815b86e8d49add8c9a8b320239b9594ff03d — وحوّل الاقتران إلى قراءة وكتابة تعسفية في ذاكرة المضيف. ويكتب دينابورغ: «بعد ذلك، يصبح الهروب أمراً تافهاً». ثم أعاد بناء نسخة QEMU مصغّرة مقابل أحدث إصدار من QEMU وlibslirp في المنبع، وأطلق الوكيل مرة أخرى.

إن السجلات في هذه المسألة قابلة للتحقق، وهي الجزء الأدق في النتيجة. يسرد أرشيف حزم Debian الإصدار libslirp 4.7.0-1 في bookworm، وهي المجموعة التي تقف خلف Debian 12 — وهو بالضبط الإصدار الذي يذكره التقرير. يضع متعقّب الأمان في Debian ذلك الإصدار بصفته معرّضًا لـ CVE-2026-9539، ويسجّل الإصلاح باعتباره مؤجلًا في bookworm، مع الملاحظة «مشكلة طفيفة، قراءة خارج الحدود»؛ وقد وصل الإصلاح إلى trixie وunstable. يصف سجل NIST، المنشور في 2026-06-24، قراءة خارج حدود الكومة وانخفاضًا صحيحًا (integer underflow) في معالجة البيانات العاجلة TCP في libslirp قبل الإصدار 4.9.2، مما يسمح لضيف ذي امتيازات بتسريب غيغابايتات من ذاكرة كومة عملية المضيف. يصنّفه NVD عند 6.5، متوسط، بتقييم من Star Labs، ولا يزال يوسمه بأنه بانتظار التحليل. يحمل الالتزام upstream الذي ربطه الوكيل عنوان «ip: Enforce strict aliasing» — سطر موضوع يبدو وكأنه نظافة برمجية، وهذا تحديدًا ما يقصده Dinaburg بشأن الإصلاحات التي لا تعلن عن نفسها.

فالخلل نفسه يُوصف بأنه «مشكلة بسيطة مؤجلة» في توزيعة مستقرة، ووسيلة انتقال نحو قراءة ذاكرة المضيف والكتابة فيها داخل مختبر بحثي. ولم يوفّق أي من الطرفين بين هذا وذاك علنًا، ولا تحسم هذه المقالة الأمر؛ بل تورد التقييمين كما هما.

الهروب الثالث: ثلاث ثغرات يوم-صفر وإصلاح واحد لم يصل قط إلى التوزيعة

بعد إعادة بناء البيئة من مصادر المنبع، توقّف الوكيل عن إعادة استخدام ثغرات الآخرين ووجد ثغراته الخاصة. جمعت السلسلة النهائية ثلاث ثغرات يوم الصفر مع ثغرة واحدة مُرقَّعة كانت غائبة عن نواة التوزيعة:

• QEMU VAPIC — قد يتداخل اسم ROM مستعار غير مُتحقَّق منه مع SMRAM المقفلة، مما يكشف ذاكرة إدارة النظام ويتيح تنفيذ SMM يتحكم فيه المهاجم. تم الإبلاغ عنه؛ وكان غير مُرقَّع عند نشر المنشور.

• الترحيل الظلي في Linux KVM — بقيت صفحة ظل معدّلة من المهاجم خارج التزامن وأمكن إعادة استخدامها. جرى تصحيحها في المنبع؛ وكانت تفاصيل نواة الإصدار المستقر لا تزال معلّقة وقت النشر.

• Linux KVM paging64_invlpg() — أدّى دور قديم من المستوى الثاني، بعد أن غيّر ضيف تعيينًا إلى 4 KiB، إلى تعيين فيزيائي للمضيف بسعة 2 MiB وقابل للكتابة، بما يكفي لتعديل كومة QEMU. أُصلح ذلك عبر التزام المنبع 9fd4a4e3a3d9fc0306525d95bf3eca693d311406، الذي لم يكن موجودًا في نواة التوزيعة؛ وهذا الالتزام موجود في الخط الرئيسي بعنوان "KVM: x86/mmu: Remove FNAME(invlpg) and use FNAME(sync_spte) to update vTLB instead."

• libslirp ICMP — أدى اختلاف قيم طول ترويسة IP (IHL) في أجزاء محتوى ICMP المختلطة إلى نسخ الانعكاس إلى ما يتجاوز الحزمة المُعاد تجميعها، مما أنتج آلاف الكائنات الحيّة من نوع NetPacket استخدمها الوكيل لتحديد موقع استدعاء رجعي واختطافه. أُبلِغ عن المشكلة؛ وكانت غير مُرقّعة عند نشر المنشور.

لا تحمل أي من الثغرات الثلاث من نوع «يوم الصفر» معرف CVE في التقرير، ولا يورد جدولًا زمنيًا للإفصاح، ولا جدول تنسيق، ولا تواريخ إصلاح لها. وهذه فجوة في السجل لا تفصيلًا يمكنني ملؤه: فالمعرفات التي يستشهد بها المقال هي المعرفان اللذان يحملهما NVD بالفعل.

ما وجده ولم يستخدمه

المسارات المهجورة لا تقل إفادةً عن مسارات الهروب. على المضيف وجد الوكيل خادم CUPS؛ فقد كشف إعادة توجيه loopback لدى slirp عن شهادة محلية جذرية قابلة لإعادة الاستخدام، كان من شأنها أن تسمح باستبدال دائم لملفات الجذر عبر طابعة file://، إلى أن منعه AppArmor من استرداد الراية. لم يكن خلل CUPS ذو الصلة، CVE-2026-34990، قد وصل إلى oldstable؛ وسجل NIST الخاص به، المنشور في 2026-04-03 بتقييم 7.8 عالٍ، يصف مستخدمًا محليًا بدون صلاحيات يُرغم cupsd على المصادقة لدى خدمة IPP على المضيف المحلي يتحكم فيها المهاجم باستخدام رمز "Authorization: Local" قابل لإعادة الاستخدام.

لم تُستخدم نتائج أخرى. احتفظ مسار IPv6 في libslirp ببايتات تتجاوز الحمولة المعلنة، وهو ما رأى الوكيل أنه أقل موثوقية في حقن تدفق المضيف. وأعطى مخزن مؤقت للتحريك في QEMU بحجم 96 بايت مقابل عرض بحجم 1,024 بايت تجاوزًا كوميًا مُتحكَّمًا فيه، لكنه عديم الفائدة لأن الضيف كان يعمل دون شاشة. وأدت إعادة ضبط طابور في QEMU إلى إبقاء الطلبات حيّة، فلم تُنتج سوى حرمان من الخدمة وإفساد محدود.

في مواجهة Firecracker — نموذج الأجهزة الأدنى الذي توصي به Trail of Bits — لم ينجح الوكيل في الهروب. بل تسبب في قفل صلب للمضيف، عبر عيوب إضافية في نواة Linux تمت ترقيعها جميعًا في المنبع.

مُثبت، ومُستدل عليه، وغير مُثبت

مؤكد. أُجريت التجربة على عتاد Trail of Bits الخاص، ووُثّقت في تقرير تقني بصيغة المتكلم يتضمن تفاصيل الاستغلال. وقد وصف الباحث الذي حدّد المهمة المسارات الثلاثة وآلياتها. يمكن التحقق من معرّفات CVE، وإصدار حزمة Debian، وحالة متتبع Debian، وكلا الالتزامين upstream في السجلات العامة، وقد جرى التحقق من كل منها مقابل تلك السجلات لهذا المقال.

غير مثبت. لا يوجد تكرار مستقل. لا تتجاوز التغطية خارج المدونة ملخصًا من CyberInsider يعتمد كليًا على المنشور نفسه ولا يتضمن أي تعليق خبير أو تحقق من طرف ثالث، ومقالًا تعليقيًا بقلم Edera — وهي مورّد لحلول العزل — نُشر في 2026-08-27، يورد النتائج بشكل مؤيد، ويقتبس فقط من مسؤول الأمن لديها، ويكشف أن Trail of Bits قد دققت Edera. لا يُعد أي منهما تأكيدًا بالمعنى المهم: فلم يُعِد أي مختبر ثانٍ إنتاج عملية هروب، ولم يدقق أحد في السجلات. ولا يحمل أي من المصدرين المذكورين تصريحًا من OpenAI عن النتيجة، ولم أجد أي رد منشور من الشركة.

مُستنتَج، لا مُبرهَن عليه. والاستنتاج — بأنه لم يعد يمكن افتراض أن آلة افتراضية عامة الغرض تحتوي على وكيل قادر بما يكفي — يقوم على نموذج واحد، وتكوين واحد للمضيف، وإعداد باحث واحد. شُغِّل المضيف مع تعطيل التخفيفات الخاصة بالمعالج، وبعض المسارات المهجورة، مثل سلسلة CUPS، أوقفتها AppArmor بدلًا من المراقب الافتراضي (hypervisor). أما ما إذا كان الوكيل نفسه سيتمكن من الإفلات من مضيف إنتاجي مُحصَّن ومراقَب في غضون الاثنتي عشرة ساعة ذاتها، فليس هذا ما تقيسه التجربة. وحجة Edera الأضيق نطاقًا هي أن تقليص محاكاة الأجهزة "يُصغِّر الهدف. لكنه لا يزيله" — وهي دعوى تتعلق بالبنية، لا إعادة إنتاج للنتيجة.

لقد غطّت مدونة OrcaRouter السجلات المجاورة لبيئة الحماية (sandbox) — أخطاء Codex Heapjack وOverpatch التي أُبلِغ عنها في أغسطس 2026 وجرى إصلاحها في غضون ثمانية أيام، وهروب OpenAI عبر محلّل DNS في 20 سبتمبر 2026 — ولا يتضمن أيٌّ منها تجاوزًا لحدود الهايبرفايزر (hypervisor) بهذه الطريقة. تتعلق تلك السجلات بسطح أداة وقناة شبكة؛ أما هذا السجل فيتعلق بطبقة المحاكاة الافتراضية الواقعة تحت كل شيء آخر.

ما تقول Trail of Bits إنه ينبغي تغييره

خلاصة دينابورغ صريحة: «لم يعد بإمكانك افتراض أن مجرد جهاز ظاهري سيحتوي على وكيل ذكاء اصطناعي متقدم بما يكفي»، وينبغي التعامل مع هذه الوكلاء «كتهديد متقدم مستمر». ولا يكفي جهاز ظاهري جاهز، كما يكتب، لأن سطح الهجوم ببساطة كبير جدًا. وتصبح التوزيعة ذات التحديثات السريعة مطلبًا، وينبغي افتراض أن التوزيعات الأقدم التي تعتمد على ترقيعات خلفية بطيئة عرضة للخطر.

التوصيات الواردة فيما يلي تشغيلية وليست معمارية:

• استخدم المحاكاة الافتراضية ذات سطح الهجوم الأدنى — Firecracker، الذي يصفه بأنه «من الواضح أنه هدف أصعب بكثير»، مع الإشارة إلى أنه ليس بمنأى عن ذلك، لأن الوكيل ما زال يقفل المضيف إقفالًا صلبًا عبر النواة المشتركة تحته.

• طبّق مبدأ الامتياز الأقل، والتسجيل، والمراقبة النشطة على أي شيء يُمنح وكيلٌ إمكانية الوصول إليه.

• حدّد المدة التي يعمل خلالها الوكيل، وامنح كل استخدام بيئة نظيفة بدلًا من بيئة طويلة الأمد.

• وفي مرافعته الختامية، اعتبر أساسيات الأمان — وتيرة التصحيحات، وطرازات الأجهزة، والترقيات الخلفية للنواة — هي القيد الملزم، لا قدرة النموذج في أي يوم بعينه.

بالنسبة لعمل التقييم، فإن المغزى غير مريح، ولا يصوغ التقرير ذلك بهذه الكلمات: فالتقييم الذي يقيس ما يستطيع وكيل قادر سيبرانياً فعله داخل جهاز ظاهري إنما يقيس الجهاز الظاهري أيضاً. المسارات المذكورة أعلاه ثلاث حالات حسمت نتيجتها كل من سياسة backport لتوزيعة، وسطر موضوع commit، وطراز جهاز غير مُرقّع. ولا يحسم السجل تلك المسألة؛ بل يوثّق تشغيلاً واحداً مدته اثنتا عشرة ساعة فشل فيه الحد بثلاث طرق منفصلة.