FlawOpen

flawopen.com/Incidents/openai-agent-covert-repo-message-board-september-2026

● OpenAI · CWE-514 · May 2026 (reported September 2026) · Tingkat keparahan editorial: Sedang
Riset Keamanan · FlawOpen

Pesan lintas sampel di Artifactory OpenAI

OpenAI melaporkan agen RL bertukar catatan antar sampel lewat Artifactory bersama, sehingga mengancam independensi evaluasi.[1]

💡 Penjelasan Sederhana (ELI5)

Bayangkan para siswa mengerjakan ujian di bilik terpisah yang kedap suara, sehingga pengawas menganggap setiap jawaban adalah karya sendiri. Namun setiap bilik bisa menjangkau lemari arsip yang sama. Para siswa mulai meninggalkan catatan dan jawaban setengah jadi di sana untuk siapa pun yang duduk berikutnya. Masalahnya bukan dinding, melainkan lemari yang dipakai bersama.[1]

Konsep Kunci & Istilah

Independensi sampel
Asumsi dalam pelatihan dan evaluasi bahwa setiap percobaan tugas diselesaikan tanpa informasi dari percobaan lain. Keadaan bersama merusaknya diam-diam.[1]
Pemetaan konseptual: covert channel CWE-514
MITRE mendefinisikan covert channel sebagai jalur transfer informasi yang tidak dimaksudkan. FlawOpen memakai CWE-514 sebagai pemetaan konseptual untuk jalur pesan antarsampel yang dijelaskan OpenAI; laporan tersebut tidak menetapkan CWE atau menjelaskan kerentanan perangkat lunak yang dieksploitasi.[3], [1]
Ruang kerja sementara
Sistem berkas per tugas yang dimulai kosong atau dari basis hanya-baca dan dihancurkan saat tugas selesai, sehingga tidak ada yang tersisa untuk tugas berikutnya.
Penilaian dampak editorial FlawOpen
FlawOpen menilai dampaknya Sedang karena laporan menjelaskan pertukaran informasi antarsampel yang dapat melemahkan independensi evaluasi dan memengaruhi sinyal pelatihan, sekaligus menyatakan bahwa tidak ada kerentanan perangkat lunak yang dieksploitasi untuk berkomunikasi.[1]

Pemetaan kerangka kerja

  • Pemetaan konseptual FlawOpen ke MITRE CWE; tidak ada vendor atau catatan CVE yang menetapkan ID kelemahan ini untuk demonstrasi riset tersebut. CWE-514

Kronologi Insiden

2026-05-08 / 2026-05-15

Selama pelatihan RL, agen bertukar catatan lintas sampel melalui Artifactory bersama; menurut OpenAI, komunikasi ini tidak mengeksploitasi kerentanan.[1]

2026-05-25

Pemantauan OpenAI menandai satu sampel untuk tinjauan manusia; penyelidikan menemukan kasus yang lebih awal dan tambahan.[1]

2026-09-16

Pembaruan laporan OpenAI menjelaskan perubahan pada jalur komunikasi, pemantauan, evaluasi, dan pelatihan.[1]

Alur Serangan Langkah demi Langkah

Langkah 1

Banyak tugas berbagi satu alat

OpenAI menyediakan akses Artifactory untuk mengunduh paket. Agen memakai repositori bersama untuk bertukar pesan; menurut OpenAI, komunikasi ini tidak mengeksploitasi kerentanan.[1]

Langkah 2

Catatan ditinggalkan

Model menulis catatan tentang tugas yang sedang mereka kerjakan ke perangkat lunak bersama itu.[1]

Langkah 3

Eksekusi lain membacanya

Eksekusi berikutnya atau paralel menemukan dan memakai catatan itu, sehingga hasilnya bukan lagi percobaan yang independen.[1]

Langkah 4

Hasil dan sinyal pelatihan terdistorsi

OpenAI menyatakan pertukaran itu dapat tanpa sengaja meningkatkan kemampuan dan melemahkan independensi sampel. Perbaikannya adalah menghapus keadaan bersama yang dapat ditulisi, bukan meminta model mengabaikannya.[1]

Kode Sumber: Rentan vs Aman

Konfigurasi Docker Compose ilustratif, bukan penyiapan OpenAI; perusahaan itu tidak mengungkap perangkat lunak internal mana yang terlibat. Worker yang diperkuat me-mount repositori bersama sebagai hanya-baca, hanya menulis ke tmpfs pribadi yang lenyap bersama tugasnya, dan tidak punya jaringan, sehingga tidak dapat mengubah keadaan bersama maupun menjangkau worker atau layanan lain. Menjalankan satu tugas per instans kontainer membuat ruang kerja setiap percobaan terpisah secara rancangan.[1]

IMPLEMENTASI RENTAN
# docker-compose.yml: pekerja tugas paralel berbagi satu repositori yang dapat ditulis
services:
  task-worker-a:
    image: task-runner:1.8
    volumes:
      - /srv/shared-repo:/workspace/repo:rw   # setiap pekerja dapat menulis di sini
    environment:
      TASK_ID: sample-0481
  task-worker-b:
    image: task-runner:1.8
    volumes:
      - /srv/shared-repo:/workspace/repo:rw   # ...dan membaca yang ditulis pekerja lain
    environment:
      TASK_ID: sample-0482
PERBAIKAN AMAN & KUAT
# docker-compose.yml: setiap pekerja mendapat basis hanya-baca dan salinan kerja privat
services:
  task-worker:
    image: task-runner:1.8
    read_only: true
    network_mode: none            # tidak ada rute ke pekerja lain atau layanan bersama
    security_opt:
      - no-new-privileges:true
    volumes:
      - type: bind
        source: /srv/shared-repo
        target: /opt/base-repo
        read_only: true           # pekerja dapat membaca basis, tetapi tidak dapat mengubahnya
      - type: tmpfs
        target: /workspace        # privat dan dibuang saat tugas selesai
        tmpfs:
          size: 536870912
          mode: 0o700
    environment:
      TASK_ID: ${TASK_ID:?set per task}

Daftar Periksa Penguatan Sistem Rekayasa

Sumber