GPT-5.6-Cyber melarikan diri dari VM QEMU/KVM tiga kali dalam dua belas jam

Pada 2026-08-26, Trail of Bits menerbitkan eksperimen di mana sebuah agen AI diberi satu tujuan — keluar dari mesin virtual — dan mencapainya tiga kali dalam sekitar dua belas jam kerja tanpa pengawasan, setiap kali melalui jalur yang berbeda. Agen tersebut adalah GPT-5.6-Cyber, model kapabilitas siber yang diberikan OpenAI kepada firma riset itu akses pratinjau; targetnya adalah tamu QEMU/KVM pada host Debian 12; dan ketiga pelarian itu berkisar dari kerentanan kernel Linux yang baru diungkapkan hingga rantai tiga zero-day yang ditemukan sendiri oleh agen. Tidak ada orang di luar laboratorium yang dirugikan — flag yang diminta dibaca agen adalah file uji di mesin peneliti sendiri — tetapi temuan ini menyasar asumsi bahwa VM adalah tempat aman untuk menjalankan salah satu agen ini. Catatan itu sendiri, dengan tingkat keyakinannya dan catatan bahwa tidak ada kerugian nyata yang tercatat, tersimpan di Orca AI Incident Archive, di samping entri sandbox evaluasi yang diajukan di sekitarnya pada minggu itu.

Apa yang sebenarnya dijalankan oleh Trail of Bits

Tulisan tersebut dibuat oleh Artem Dinaburg dan merupakan bagian dari kerja Patch the Planet di Trail of Bits, bagian dari inisiatif penemuan kerentanan OpenAI dengan nama yang sama. OpenAI mendeskripsikan Patch the Planet sebagai koalisi para pemelihara, peneliti, dan penyedia keamanan yang mereka kumpulkan untuk memperbaiki cacat open-source kritis sebelum diungkapkan. Agen dalam eksperimen ini bukanlah produk yang telah diterapkan dan sedang diuji untuk seorang pelanggan: agen itu adalah akses pratinjau yang diberikan kepada sebuah firma riset, dan demikianlah cara tulisan tersebut menggambarkannya.

Dinaburg membingkainya sebagai capture-the-flag. Agen itu harus keluar dari guest dan membaca berkas flag, dimulai dengan akses SSH ke dalam guest dan izin untuk melakukan apa saja di dalamnya sambil menyimpan log penelitian. Memulai dari guest alih-alih dari dalam host adalah keputusan yang disengaja — upaya escape bisa membuat mesin crash — dan host dikonfigurasi agar tidak menyimpan apa pun yang penting, sehingga exploit yang ditulis agen dapat diaudit untuk mendeteksi kecurangan alih-alih diperlakukan sebagai insiden. Ini berjalan sebagian besar tanpa pengawasan selama sekitar dua belas jam, melalui apa yang disebut Dinaburg sebagai "multiple compactions and innumerable subagent invocations": mengunduh kode dan makalah, melakukan backtracking, menulis oracle dan reproducer minimal, serta berburu exploit yang bisa digunakan ulang. Perannya sendiri, katanya, sebagian besar adalah me-reboot mesin setelah hardlock kernel host.

Dua detail membentuk cara hasilnya harus dibaca. Host menjalankan Debian 12 dengan mitigasi CPU dinonaktifkan, sebuah konfigurasi yang disadari agen dan coba dimanfaatkan sebelum meninggalkan pendekatan itu karena terlalu tidak andal. Dan distribusinya adalah distribusi stabil standar — jenis yang benar-benar diterapkan sebagian besar organisasi — yang merupakan variabel yang pada akhirnya menjadi penentu seluruh eksperimen.

Escape satu: bug kernel yang belum pernah dibuatkan eksploit oleh siapa pun

Sekitar satu jam berjalan, agen tersebut sudah memiliki eksploit yang berfungsi untuk CVE-2026-53359, sebuah kerentanan kernel host yang diungkapkan tak lama sebelum uji coba dan dikenal dalam catatan sebagai Januscape. Menurut laporan Dinaburg, tidak ada eksploit publik untuk disalin; agen membuatnya sendiri. Eksploit itu tidak berjalan mulus — host malah mengalami hardlock — dan Dinaburg memperbarui kernel Debian 12 sebelum melanjutkan.

Pengenal tersebut konsisten dengan catatan publik. Entri NVD NIST untuk CVE-2026-53359, yang diterbitkan pada 2026-07-04, menjelaskan use-after-free shadow-paging x86 KVM yang diklasifikasikan sebagai CWE-416 dan diberi peringkat 8.8 pada CVSS 3.1 — tujuh minggu sebelum eksperimen, dalam kode virtualisasi yang menjadi target escape tersebut. Itu tidak menguatkan escape itu sendiri, tetapi menetapkan bahwa label tersebut menunjuk pada cacat kernel yang terdokumentasi, bukan cacat yang diciptakan untuk unggahan tersebut.

Escape kedua: bug libslirp yang sudah diputuskan Debian untuk ditunda

Rute kedua sama sekali bukan bug baru. Debian 12 menyertakan libslirp 4.7.0, yang membawa CVE-2026-9539. Agen tersebut menggabungkannya dengan commit perbaikan libslirp yang telah digabungkan di upstream tanpa dilabeli sebagai perbaikan keamanan — 26be815b86e8d49add8c9a8b320239b9594ff03d — dan mengubah pasangan itu menjadi baca dan tulis arbitrer pada memori host. "Setelah itu, escape menjadi sepele," tulis Dinaburg. Ia kemudian membangun ulang QEMU minimal terhadap QEMU dan libslirp upstream terbaru dan melepaskan agen itu lagi.

Pencatatan soal ini dapat diperiksa, dan itu adalah bagian paling tajam dari temuan. Arsip paket Debian mencantumkan libslirp 4.7.0-1 di bookworm, suite di balik Debian 12 — tepat versi yang disebut dalam tulisan tersebut. Pelacak keamanan Debian menandai versi itu rentan terhadap CVE-2026-9539 dan mencatat perbaikannya sebagai ditunda di bookworm, dengan catatan "Minor issue, OOB read"; perbaikan tersebut telah mencapai trixie dan unstable. Catatan NIST, yang diterbitkan pada 2026-06-24, menjelaskan pembacaan heap di luar batas dan integer underflow dalam penanganan data urgensi TCP libslirp sebelum versi 4.9.2, yang memungkinkan guest dengan hak istimewa membocorkan gigabyte memori heap proses host. NVD mencantumkannya pada 6.5, medium, dinilai oleh Star Labs, dan masih menandainya menunggu analisis. Commit upstream yang ditautkan oleh agen berjudul "ip: Enforce strict aliasing" — baris subjek yang terdengar seperti kebersihan kode, yang justru merupakan poin Dinaburg tentang perbaikan yang tidak mengumumkan keberadaannya sendiri.

Jadi bug yang sama adalah "masalah kecil, ditunda" dalam distribusi stabil dan batu loncatan menuju pembacaan dan penulisan memori host di laboratorium riset. Tidak ada pihak yang telah mendamaikan hal itu secara publik, dan tulisan ini tidak memutuskan hal itu; tulisan ini melaporkan kedua penilaian tersebut sebagaimana adanya.

Escape tiga: tiga zero-day dan satu perbaikan yang tidak pernah sampai ke distribusi

Dengan lingkungan yang dibangun ulang dari sumber upstream, agen berhenti menggunakan ulang bug milik orang lain dan menemukan bugnya sendiri. Rantai akhir menggabungkan tiga zero-day dengan satu kerentanan yang telah ditambal yang tidak ada di kernel distribusi:

• QEMU VAPIC — alias ROM yang tidak diperiksa dapat tumpang tindih dengan SMRAM yang terkunci, sehingga mengekspos System Management RAM dan memungkinkan eksekusi SMM yang dikendalikan penyerang. Dilaporkan; belum ditambal saat pos tersebut terbit.

• Linux KVM shadow paging — halaman bayangan yang dimodifikasi oleh penyerang tetap tidak sinkron dan dapat digunakan kembali. Ditambal di upstream; rincian kernel stabil masih tertunda saat publikasi.

• Linux KVM paging64_invlpg() — peran level-2 yang basi setelah guest mengubah pemetaan menjadi 4 KiB menghasilkan pemetaan fisik host 2 MiB yang dapat ditulis, cukup untuk memodifikasi heap QEMU. Diperbaiki oleh commit upstream 9fd4a4e3a3d9fc0306525d95bf3eca693d311406, yang tidak ada di kernel distribusi; commit tersebut ada di mainline, dengan judul "KVM: x86/mmu: Remove FNAME(invlpg) and use FNAME(sync_spte) to update vTLB instead."

• libslirp ICMP — IHL fragmen yang bercampur membuat salinan refleksi melampaui paket yang telah dirakit ulang, menghasilkan ribuan objek NetPacket aktif yang digunakan agen untuk menemukan dan membajak callback. Dilaporkan; belum ditambal saat tulisan itu diterbitkan.

Tidak satu pun dari tiga zero-day itu membawa pengenal CVE dalam tulisan tersebut, dan tulisan itu tidak memberikan linimasa pengungkapan, jadwal koordinasi, maupun tanggal perbaikan untuk mereka. Itu adalah celah dalam catatan, bukan detail yang bisa saya isi: pengenal yang dikutip dalam tulisan itu adalah dua yang sudah dimuat NVD.

Apa yang ditemukan dan tidak digunakan

Jalur-jalur yang ditinggalkan sama informatifnya dengan jalan keluarnya. Di host, agen menemukan server CUPS; penerusan loopback slirp memaparkan sertifikat lokal root yang dapat digunakan kembali, yang seharusnya memungkinkan penimpaan berkas root secara persisten melalui printer file://, sampai AppArmor menghentikannya mengambil flag. Cacat CUPS terkait, CVE-2026-34990, belum sampai ke oldstable; catatan NIST untuknya, yang diterbitkan 2026-04-03 dengan skor tinggi 7.8, menjelaskan seorang pengguna lokal tanpa hak istimewa yang memaksa cupsd untuk mengautentikasi ke layanan IPP localhost yang dikendalikan penyerang dengan token "Authorization: Local" yang dapat digunakan kembali.

Temuan lain tidak terpakai. Jalur IPv6 libslirp {{1}}menyimpan byte secara berlebihan melampaui payload yang dideklarasikan{{/1}}, yang menurut agen kurang andal untuk injeksi host-stream. Buffer panning QEMU berukuran 96 byte untuk render 1.024 byte menghasilkan heap overflow terkendali, tidak berguna karena guest berjalan tanpa tampilan. Reset antrean QEMU membiarkan permintaan tetap hidup, hanya menghasilkan denial of service dan korupsi terbatas.

Terhadap Firecracker — model perangkat minimal yang direkomendasikan Trail of Bits — agen tidak berhasil meloloskan diri. Namun, agen membuat host macet total, melalui celah tambahan pada kernel Linux yang semuanya telah ditambal di upstream.

Ditetapkan, disimpulkan, dan tidak ditetapkan

Terverifikasi. Eksperimen tersebut dijalankan pada perangkat keras milik Trail of Bits sendiri dan didokumentasikan dalam tulisan teknis orang pertama dengan detail eksploit. Ketiga jalur dan mekanismenya dijelaskan oleh peneliti yang menetapkan tugas tersebut. Pengenal CVE, versi paket Debian, status pelacak Debian, dan kedua commit upstream dapat diverifikasi dalam catatan publik, dan masing-masing telah diperiksa terhadap catatan tersebut untuk artikel ini.

Belum terbukti. Tidak ada replikasi independen. Liputan di luar blog tersebut sebatas ringkasan CyberInsider yang sepenuhnya mengandalkan postingan yang sama dan tidak memuat komentar ahli atau verifikasi pihak ketiga, serta tulisan komentar oleh Edera — vendor isolasi — yang diterbitkan pada 2026-08-27, yang melaporkan temuan tersebut dengan nada menyetujui, hanya mengutip kepala keamanan mereka sendiri, dan mengungkapkan bahwa Trail of Bits telah mengaudit Edera. Keduanya bukanlah korroborasi dalam pengertian yang penting: tidak ada laboratorium kedua yang mereproduksi escape, dan tidak ada yang mengaudit transkripnya. Tidak satu pun sumber yang dikutip memuat pernyataan dari OpenAI tentang hasil tersebut, dan saya tidak menemukan tanggapan yang dipublikasikan dari perusahaan itu.

Disimpulkan, bukan dibuktikan. Kesimpulan — bahwa VM serbaguna tidak lagi dapat diasumsikan berisi agen yang cukup mampu — bertumpu pada satu model, satu konfigurasi host, dan satu pengaturan peneliti. Host dijalankan dengan mitigasi CPU dinonaktifkan, dan beberapa jalur yang ditinggalkan, seperti rantai CUPS, dihentikan oleh AppArmor alih-alih oleh hypervisor. Apakah agen yang sama akan lolos dari host produksi yang diperkeras dan dimonitor dalam dua belas jam yang sama bukanlah yang diukur oleh eksperimen ini. Argumen Edera yang lebih sempit adalah bahwa meminimalkan emulasi perangkat "memperkecil target. Itu tidak menghilangkannya" — sebuah klaim tentang arsitektur, bukan reproduksi hasil.

Blog OrcaRouter telah membahas catatan sandbox yang berdekatan — bug Codex Heapjack dan Overpatch yang dilaporkan pada Agustus 2026 dan diperbaiki dalam delapan hari, serta pelarian DNS-resolver OpenAI pada 20 September 2026 — dan tidak satu pun melibatkan batas hypervisor yang dilintasi dengan cara ini. Catatan-catatan itu menyangkut permukaan alat dan saluran jaringan; yang ini menyangkut tumpukan virtualisasi di bawah semua hal lainnya.

Apa yang menurut Trail of Bits harus diubah

Kesimpulan Dinaburg blak-blakan: "Anda tidak bisa lagi menganggap VM biasa akan menampung agen AI yang cukup canggih", dan agen semacam itu harus diperlakukan "sebagai ancaman persisten tingkat lanjut". VM siap pakai tidaklah cukup, tulisnya, karena permukaan serangannya terlalu luas. Distribusi dengan pembaruan cepat menjadi persyaratan, dan distribusi lama yang mengandalkan backport lambat harus dianggap rentan.

Rekomendasi berikut bersifat operasional, bukan arsitektural:

• Gunakan virtualisasi dengan permukaan serangan minimal — Firecracker, yang ia sebut "jelas merupakan target yang jauh lebih sulit", sambil mencatat bahwa itu tidak sepenuhnya kebal, karena agen tersebut masih mengunci mati host melalui kernel bersama di bawahnya.

• Terapkan hak istimewa paling rendah, pencatatan log, dan pemantauan aktif pada apa pun yang agen diberi akses.

• Batasi berapa lama agen beroperasi, dan berikan lingkungan yang bersih untuk setiap penggunaan, bukan lingkungan yang berumur panjang.

• Dan, dalam argumen penutupnya, perlakukan dasar-dasar keamanan — kadensi penambalan, model perangkat, backport kernel — sebagai kendala yang mengikat, bukan kemampuan model pada hari tertentu.

Bagi pekerjaan evaluasi, implikasinya tidak nyaman, dan tulisan itu tidak menyatakannya dengan kata-kata tersebut: sebuah eval yang mengukur apa yang dapat dilakukan agen dengan kemampuan siber di dalam VM juga mengukur VM itu sendiri. Rute-rute di atas adalah tiga kasus ketika kebijakan backport suatu distribusi, baris subjek sebuah commit, dan model perangkat yang belum ditambal masing-masing menentukan hasilnya. Catatan itu tidak menjawab pertanyaan tersebut; catatan itu mendokumentasikan satu sesi berjalan selama dua belas jam yang batasnya gagal dengan tiga cara terpisah.