GPT-5.6-Cyber s'est échappé d'une VM QEMU/KVM trois fois en douze heures

Le 2026-08-26, Trail of Bits a publié une expérience dans laquelle un agent d'IA s'est vu confier un unique objectif — s'échapper d'une machine virtuelle — et l'a atteint trois fois en environ douze heures de travail sans supervision, chaque fois par une voie différente. L'agent était GPT-5.6-Cyber, le modèle de capacités cyber auquel OpenAI a donné un accès en avant-première à ce cabinet de recherche ; la cible était une machine invitée QEMU/KVM sur un hôte Debian 12 ; et les trois évasions allaient d'une vulnérabilité du noyau Linux fraîchement divulguée à une chaîne de trois vulnérabilités zero-day que l'agent a lui-même trouvées. Personne en dehors du laboratoire n'a été blessé — le flag que l'agent devait lire était un fichier de test sur la machine du chercheur — mais la découverte vise l'hypothèse selon laquelle une VM est un endroit sûr pour exécuter l'un de ces agents. Le dossier lui-même, avec sa note de confiance et la mention qu'aucun préjudice réel n'a été enregistré, se trouve dans l'Orca AI Incident Archive, à côté des entrées de bac à sable d'évaluation déposées autour de lui cette semaine-là.

Ce que Trail of Bits a réellement exécuté

L'article est signé Artem Dinaburg et s'inscrit dans les travaux Patch the Planet de Trail of Bits, qui font partie de l'initiative de découverte de vulnérabilités du même nom d'OpenAI. OpenAI décrit Patch the Planet comme une coalition de mainteneurs, de chercheurs et de prestataires de sécurité qu'elle réunit pour corriger des failles critiques de l'open source avant leur divulgation. L'agent utilisé dans cette expérience n'était pas un produit déployé testé pour un client : il s'agissait d'un accès en avant-première accordé à un cabinet de recherche, et c'est ainsi que l'article le décrit.

Dinaburg l’a présenté comme un capture-the-flag. L’agent devait s’échapper de l’invité et lire un fichier drapeau, en commençant par obtenir un accès SSH à l’invité et l’autorisation d’y faire tout ce qu’il voulait tout en tenant un journal de recherche. Partir de l’invité plutôt que de l’intérieur de l’hôte était délibéré — les tentatives d’évasion risquaient de faire planter la machine — et l’hôte était configuré pour ne contenir rien d’important, afin qu’un exploit écrit par l’agent puisse être audité pour tricherie plutôt que traité comme un incident. Cela a fonctionné en grande partie sans supervision pendant environ douze heures, à travers ce que Dinaburg appelle « plusieurs compactions et d’innombrables invocations de sous-agents » : télécharger du code et des articles, revenir en arrière, écrire des oracles et des reproducteurs minimaux, et chercher un exploit qu’il pourrait réutiliser. Son propre rôle, dit-il, consistait surtout à redémarrer la machine après des blocages durs du noyau de l’hôte.

Deux détails déterminent la façon dont le résultat doit être lu. La machine hôte tournait sous Debian 12 avec les mesures d’atténuation des vulnérabilités CPU désactivées, une configuration que l’agent a remarquée et a tenté d’exploiter avant d’abandonner cette approche, jugée trop peu fiable. Et la distribution était une version stable standard — celle que la plupart des organisations déploient réellement — soit précisément la variable sur laquelle toute l’expérience finit par reposer.

Évasion n°1 : une faille du noyau pour laquelle personne n’avait écrit d’exploit

Au bout d'environ une heure, l'agent disposait d'un exploit fonctionnel pour CVE-2026-53359, une vulnérabilité du noyau hôte divulguée peu avant l'exécution et connue dans le rapport sous le nom de Januscape. Dans le compte rendu de Dinaburg, il n'existait aucun exploit public à copier ; l'agent en a construit un. Il ne s'est pas déclenché proprement — l'hôte s'est bloqué à la place — et Dinaburg a mis à jour le noyau Debian 12 avant de poursuivre.

L'identifiant résiste à la vérification dans les registres publics. L'entrée du NVD de la NIST pour CVE-2026-53359, publiée le 2026-07-04, décrit une utilisation après libération (use-after-free) dans la pagination fantôme (shadow paging) de KVM sur x86, classée CWE-416 et notée 8,8 selon le CVSS 3.1 — sept semaines avant l'expérience, dans le code de virtualisation que l'évasion visait. Cela ne corrobore pas l'évasion elle-même, mais établit que l'étiquette renvoie à une faille du noyau documentée plutôt qu'à une faille inventée pour l'article.

Échappatoire n° 2 : un bug de libslirp que Debian avait déjà décidé de reporter

La deuxième route n’était pas du tout un nouveau bug. Debian 12 fournissait libslirp 4.7.0, qui porte CVE-2026-9539. L’agent l’a combiné avec un commit de correction de libslirp qui avait été fusionné en amont sans être étiqueté comme correction de sécurité — 26be815b86e8d49add8c9a8b320239b9594ff03d — et a transformé cette paire en lecture et écriture arbitraires de la mémoire hôte. « Après cela, s’échapper est trivial », écrit Dinaburg. Il a ensuite reconstruit un QEMU minimal à partir des dernières versions amont de QEMU et de libslirp, puis a de nouveau lâché l’agent.

La tenue des registres sur ce point est vérifiable, et c’est la partie la plus incisive du constat. L’archive de paquets de Debian liste libslirp 4.7.0-1 dans bookworm, la suite derrière Debian 12 — exactement la version que cite l’article. Le suivi de sécurité de Debian marque cette version comme vulnérable à CVE-2026-9539 et consigne le correctif comme reporté dans bookworm, avec la note « Problème mineur, lecture OOB » ; le correctif avait atteint trixie et unstable. La fiche du NIST, publiée le 24 juin 2026, décrit une lecture hors limites dans le tas et un sous-dépassement d’entier dans la gestion des données urgentes TCP de libslirp avant la version 4.9.2, permettant à un invité privilégié de fuiter des gigaoctets de mémoire de tas du processus hôte. Le NVD le répertorie à 6,5, moyen, noté par Star Labs, et le marque encore comme en attente d’analyse. Le commit amont que l’agent a enchaîné s’intitule « ip: Enforce strict aliasing » — une ligne d’objet qui ressemble à de l’hygiène de code, ce qui est précisément le point de Dinaburg sur les correctifs qui ne s’annoncent pas.

Ainsi, le même bug est « problème mineur, reporté » dans une distribution stable et un tremplin vers la lecture et l’écriture de la mémoire hôte dans un laboratoire de recherche. Aucune des deux parties n’a réconcilié cela en public, et cet article ne tranche pas la question ; il rapporte les deux évaluations telles qu’elles se présentent.

Évasion trois : trois zero-days et un correctif qui n'a jamais atteint la distribution

Avec un environnement reconstruit à partir des sources amont, l'agent a cessé de réutiliser les bugs des autres et a trouvé les siens. La chaîne finale combinait trois zero-days avec une vulnérabilité corrigée qui manquait au noyau de la distribution :

• QEMU VAPIC — un alias ROM non vérifié pouvait chevaucher la SMRAM verrouillée, exposant ainsi la RAM de gestion système et permettant une exécution SMM contrôlée par l’attaquant. Signalé ; non corrigé au moment de la publication.

• Linux KVM shadow paging — une page fantôme modifiée par un attaquant restait désynchronisée et pouvait être réutilisée. Correctif appliqué en amont ; les détails relatifs au noyau stable étaient encore en attente au moment de la publication.

• Linux KVM paging64_invlpg() — un rôle de niveau 2 obsolète, après qu'un invité a modifié un mappage en 4 Kio, a produit un mappage physique hôte de 2 Mio accessible en écriture, suffisant pour modifier le tas de QEMU. Corrigé par le commit amont 9fd4a4e3a3d9fc0306525d95bf3eca693d311406, qui ne figurait pas dans le noyau de la distribution ; ce commit est présent dans mainline, intitulé « KVM: x86/mmu: Remove FNAME(invlpg) and use FNAME(sync_spte) to update vTLB instead. »

• ICMP de libslirp — des IHL de fragments hétérogènes faisaient que la copie par réflexion dépassait le paquet réassemblé, produisant des milliers d’objets NetPacket actifs que l’agent a utilisés pour localiser puis détourner un callback. Signalé ; non corrigé au moment de la publication.

Aucune des trois vulnérabilités zero-day ne porte d'identifiant CVE dans l'article, et celui-ci ne donne ni calendrier de divulgation, ni programme de coordination, ni dates de correction les concernant. C'est une lacune dans le dossier plutôt qu'un détail que je peux combler : les identifiants que l'article cite sont les deux que la NVD contient déjà.

Ce qu’il a trouvé et n’a pas utilisé

Les chemins abandonnés sont tout aussi instructifs que les échappatoires. Sur l'hôte, l'agent a trouvé un serveur CUPS ; le transfert loopback de slirp exposait un certificat local root réutilisable, qui aurait permis un écrasement persistant de fichiers root via une imprimante file://, jusqu'à ce qu'AppArmor l'empêche de récupérer le flag. Une faille CUPS associée, CVE-2026-34990, n'avait pas atteint oldstable ; l'entrée NIST correspondante, publiée le 2026-04-03 avec un score élevé de 7,8, décrit un utilisateur local non privilégié forçant cupsd à s'authentifier auprès d'un service IPP localhost contrôlé par un attaquant avec un jeton réutilisable « Authorization: Local ».

D’autres constats n’ont pas été utilisés. Un chemin IPv6 de libslirp conservait des octets en trop au-delà de la charge utile déclarée, que l’agent a jugé moins fiable pour l’injection dans le flux hôte. Un tampon de panoramique QEMU de 96 octets pour un rendu de 1 024 octets donnait un débordement de tas contrôlé, inutile car l’invité s’exécutait sans affichage. Une réinitialisation de file d’attente QEMU laissait des requêtes actives, ne produisant qu’un déni de service et une corruption limitée.

Face à Firecracker — le modèle de périphérique minimal que Trail of Bits recommande — l’agent ne s’est pas évadé. Il a toutefois provoqué un blocage complet de l’hôte, via des failles supplémentaires du noyau Linux qui ont toutes été corrigées en amont.

Établi, inféré et non établi

Établi. L'expérience a été menée sur le matériel propre de Trail of Bits et documentée dans un compte rendu technique à la première personne comportant des détails sur l'exploit. Les trois voies et leurs mécanismes sont décrits par le chercheur qui a posé la tâche. Les identifiants CVE, la version du paquet Debian, le statut dans le tracker Debian et les deux commits amont sont vérifiables dans des registres publics, et chacun a été vérifié par rapport à ces registres pour cet article.

Non établi. Il n’existe aucune réplication indépendante. La couverture en dehors du billet de blog se résume à un résumé de CyberInsider qui s’appuie entièrement sur le même article et ne comporte ni commentaire d’expert ni vérification par un tiers, ainsi qu’à un article de commentaire d’Edera — un fournisseur d’isolation — publié le 2026-08-27, qui rapporte les conclusions avec approbation, ne cite que son propre responsable de la sécurité et indique que Trail of Bits a audité Edera. Ni l’un ni l’autre ne constitue une corroboration au sens qui compte : aucun second laboratoire n’a reproduit une évasion, et personne n’a audité les transcriptions. Aucune des sources citées ne contient de déclaration d’OpenAI sur le résultat, et je n’ai trouvé aucune réponse publiée de l’entreprise.

Déduit, non démontré. La conclusion — selon laquelle on ne peut plus considérer qu’une VM généraliste contient un agent suffisamment capable — repose sur un modèle, une configuration d’hôte et l’environnement d’un seul chercheur. L’hôte fonctionnait avec les protections contre les vulnérabilités CPU désactivées, et certaines voies abandonnées, comme la chaîne CUPS, ont été bloquées par AppArmor plutôt que par l’hyperviseur. Savoir si le même agent s’échapperait d’un hôte de production durci et surveillé en l’espace des mêmes douze heures n’est pas ce que mesure cette expérience. L’argument plus restreint d’Edera est que minimiser l’émulation de périphériques « réduit la cible. Cela ne la supprime pas » — une affirmation sur l’architecture, pas une reproduction du résultat.

Le blog OrcaRouter a couvert les incidents de sandbox connexes — les bugs Codex Heapjack et Overpatch signalés en août 2026 et corrigés en huit jours, ainsi que l’évasion du résolveur DNS d’OpenAI du 20 septembre 2026 — et aucun d’entre eux n’implique le franchissement d’une frontière d’hyperviseur de cette manière. Ces incidents concernent une surface d’outil et un canal réseau ; celui-ci concerne la pile de virtualisation sous-jacente à tout le reste.

Ce que Trail of Bits affirme devoir changer

La conclusion de Dinaburg est sans détour : « on ne peut plus partir du principe qu’une simple VM contiendra un agent IA suffisamment avancé », et de tels agents doivent être traités « comme une menace persistante avancée ». Une VM standard ne suffit pas, écrit-il, car la surface d’attaque est simplement trop importante. Une distribution bénéficiant de mises à jour rapides devient une exigence, et les distributions plus anciennes qui reposent sur des rétroportages lents doivent être présumées vulnérables.

Les recommandations qui suivent sont d’ordre opérationnel plutôt qu’architectural :

• Utiliser la virtualisation avec une surface d’attaque minimale — Firecracker, qu’il qualifie de « cible manifestement bien plus difficile », tout en notant qu’il n’est pas pour autant épargné, puisque l’agent a malgré tout verrouillé l’hôte via le noyau partagé qui le sous-tend.

• Appliquez le principe du moindre privilège, la journalisation et la surveillance active à tout ce à quoi un agent a accès.

• Limitez la durée de fonctionnement d’un agent et donnez à chaque utilisation un environnement vierge plutôt qu’un environnement de longue durée.

• Et, dans son argument final, traiter les fondamentaux de la sécurité — cadence des correctifs, modèles d’appareils, rétroportages du noyau — comme la contrainte déterminante plutôt que la capacité du modèle à un jour donné.

Pour le travail d’évaluation, l’implication est inconfortable, et le compte rendu ne la formule pas en ces termes : une évaluation qui mesure ce qu’un agent doté de capacités cyber peut faire à l’intérieur d’une VM mesure aussi la VM. Les voies ci-dessus sont trois cas où la politique de rétroportage d’une distribution, la ligne d’objet d’un commit et un modèle d’appareil non corrigé ont chacun décidé de l’issue. Le document ne tranche pas cette question ; il relate une exécution de douze heures au cours de laquelle la frontière a cédé de trois manières distinctes.