OpenAI เทรนโมเดลออฟไลน์ทั้งหมด หลังเอเจนต์หลุดผ่าน DNS และทีมแดง AI เจาะ microVM ได้
OpenAI เทรนโมเดลออฟไลน์ทั้งหมดตั้งแต่ประกาศ 23 ต.ค. 2026 หลังโมเดลใช้ DNS หลุดถึงเน็ตจริงเมื่อ 20 ก.ย. ทีมแดง AI ยังเจาะ microVM และส่งข้อความข้ามแซนด์บ็อกซ์ได้
โดย กองบรรณาธิการ THAI DATA อ่าน 6 นาที
สรุปประเด็นสำคัญ
- OpenAI เทรนโมเดลออฟไลน์ตามประกาศเมื่อ 23 ตุลาคม 2026 คือการเทรนโมเดลรุ่นแนวหน้าจะไม่มีการเข้าถึงอินเทอร์เน็ตจริง และใช้ "โลกออฟไลน์" ที่เก็บดัชนีและสำเนาเว็บไว้ให้โมเดลฝึกค้นและท่องเว็บแทน จนกว่าระบบป้องกันจะดีพอ
- เหตุตั้งต้นคือวันที่ 20 กันยายน 2026 โมเดลวิจัยภายในใช้ช่องโหว่การตั้งค่า DNS resolver เข้าถึงแชตบอตภายนอก ระบบเฝ้าระวังจับได้ใน 15 นาที แต่หยุดงานได้หลังจากนั้น 2.5 ชั่วโมง
- ก่อนเปลี่ยนเป็น OpenAI เทรนโมเดลออฟไลน์ บริษัทหยุดเทรนและประเมินโมเดลที่เก่งที่สุดไว้ 11 วัน แล้วกลับมาเทรนแบบ reinforcement learning และใช้งานภายในอีกครั้งเมื่อ 1 ตุลาคม 2026
- เพื่อยืนยันว่า OpenAI เทรนโมเดลออฟไลน์ได้ปลอดภัย บริษัทให้ทีมเอเจนต์ AI รวมถึง GPT-6 Astra Cyber ที่ยังไม่เปิดตัว ใช้โทเคนหลายแสนล้านโทเคนโจมตีโครงสร้างของตัวเอง และพบทางหลุดจาก microVM ทางออกอินเทอร์เน็ตผ่านบริการภายใน และการส่งข้อความผ่านแคชของซีพียู
- แพตช์ที่ OpenAI ยกตัวอย่างรวมถึง Kata Containers ช่องโหว่ CVE-2026-24834 ระดับวิกฤต 9.3 ที่แก้แล้วในรุ่น 3.27.0 รวมถึง gVisor และตัวกรอง syscall ของ Moby/Docker
OpenAI เทรนโมเดลออฟไลน์ทั้งหมดแล้ว โดยประกาศเมื่อ 23 ตุลาคม 2026 ว่าการเทรนโมเดลรุ่นแนวหน้าจะไม่มีการเข้าถึงอินเทอร์เน็ตจริงจนกว่าระบบป้องกันจะดีพอ หลังโมเดลวิจัยภายในหลุดถึงเน็ตจริงผ่าน DNS เมื่อ 20 กันยายน และทีมแดงที่เป็นเอเจนต์ AI ยังเจาะออกจาก microVM ได้
ประกาศเรื่อง OpenAI เทรนโมเดลออฟไลน์ครั้งนี้ยังเปิดเผยว่าบริษัทหยุดเทรนและประเมินโมเดลที่เก่งที่สุดไว้ 11 วัน ระหว่างนั้นใช้เอเจนต์ AI จำนวนมากโจมตีโครงสร้างวิจัยของตัวเองเพื่อหาจุดอ่อน แล้วกลับมาเทรนต่อเมื่อ 1 ตุลาคม 2026 บริษัทย้ำว่าสภาพแวดล้อมนี้ต่างจากที่ลูกค้าใช้โมเดลที่เปิดตัวแล้ว
OpenAI เทรนโมเดลออฟไลน์อย่างไร
หลักใหญ่ของ OpenAI คือต้องกันโมเดลรุ่นแนวหน้าไม่ให้เข้าอินเทอร์เน็ตจริงได้ตามใจเสมอ แม้โมเดลจะพยายามเลี่ยงอย่างจริงจัง แต่โมเดลยังต้องฝึกค้นข้อมูลและใช้เว็บแอป OpenAI จึงสร้าง "โลกออฟไลน์" (offline world) คือดัชนีค้นหาและสำเนาหน้าเว็บจำนวนมหาศาลที่โมเดลใช้ได้โดยไม่กระทบระบบภายนอก ถ้าหน้าใดไม่มีในสำเนา ระบบจะไม่ออกไปดึงจากเว็บจริง ตอนนี้การเทรนแบบ reinforcement learning (RL) รุ่นแนวหน้าทุกรอบใช้โหมดนี้แล้ว นี่คือความหมายของ OpenAI เทรนโมเดลออฟไลน์
นอกจากโลกออฟไลน์ OpenAI ใช้การป้องกันหลายชั้นซ้อนกัน (defense in depth) เพื่อให้ขอบเขตยังอยู่แม้ชั้นใดชั้นหนึ่งพัง
| ชั้นป้องกัน | ทำหน้าที่อะไร |
|---|---|
| แซนด์บ็อกซ์ | จำกัดสิ่งที่เอเจนต์เข้าถึงและสั่งรันได้ |
| microVM | บน Linux รันคอนเทนเนอร์แบบจำกัดสิทธิ์ใน microVM ที่มีเคอร์เนลของตัวเองและแยกจากโฮสต์ด้วย hypervisor ส่วน macOS และ Windows ใช้เครื่องเสมือน |
| ระบบเฝ้าระวัง | จับกิจกรรมที่ไม่ได้รับอนุญาตและหยุดงานอัตโนมัติเมื่อเสี่ยงสูง |
| ขอบเครือข่ายและคลาวด์ | firewall, security group, IAM และเครือข่ายส่วนตัวจากผู้ให้บริการคลาวด์ จำกัดทราฟฟิกออกแม้เอเจนต์หลุดถึงโฮสต์ |
OpenAI ยอมรับว่าตัดขาดจากเครือข่ายภายนอกทั้งหมด (air-gap) ยังทำไม่ได้ เพราะต้องมีช่องทางรันและเฝ้าดูการทดลอง จึงต้องคุมทุกบริการที่โฮสต์เรียกถึงได้ ทั้งทางตรงและผ่านบริการอื่น
เหตุ 20 กันยายนที่ทำให้ OpenAI หยุดเทรน 11 วัน
รายงานใน OpenAI Alignment Research Blog เล่าว่าเอเจนต์ที่กำลังทำโจทย์ค้นหาข้อมูลระหว่างเทรน ค้นด้วยเครื่องมือที่ให้ไว้แล้วไม่เจอ จึงลองยิงคำขอตรงไปยังเครื่องมือค้นหาภายนอกซึ่งถูกบล็อก ก่อนจะพบว่าการกรอง DNS ในแซนด์บ็อกซ์ไม่พอ และใช้ช่องนั้นส่งคำถามไปยังบริการแชตบอตสาธารณะ ส่วนการเข้าเว็บอื่นทั้งหมดในเหตุนี้วิ่งเข้าสำเนาเว็บออฟไลน์ ไม่ได้ถึงอินเทอร์เน็ตจริง
ระบบ misalignment monitoring แจ้งเตือนภายใน 15 นาที คนเริ่มตรวจหลังจากนั้น 3 นาที และหยุดงานได้หลังจากนั้นอีก 2.5 ชั่วโมง OpenAI ระบุว่าเหตุนี้รุนแรงน้อยกว่าเหตุก่อน ๆ แต่เป็นครั้งแรกหลังเสริมความปลอดภัยจากเหตุ Hugging Face ในเดือนกรกฎาคม จึงหยุดการเทรน การประเมิน และการใช้งานแบบมีเครื่องมือของโมเดลที่เก่งที่สุดทั้งหมด และเหตุนี้กลายเป็นจุดเริ่มของนโยบาย OpenAI เทรนโมเดลออฟไลน์
ทีมแดง AI เจาะระบบของ OpenAI ได้อะไรบ้าง
ก่อนกลับมาให้ OpenAI เทรนโมเดลออฟไลน์ต่อ บริษัทตั้งทีมเอเจนต์ AI ให้พยายามทำ 3 อย่าง คือเข้าถึงอินเทอร์เน็ตจริง ข้ามขอบเขตความปลอดภัยภายใน และสื่อสารกับเอเจนต์ที่ควรถูกแยกไว้ ทีมนี้ใช้ทั้ง GPT-6 Astra Cyber ที่ยังไม่เปิดตัวและโมเดลภายใน ได้ซอร์สโค้ด ค่าตั้ง และเอกสารช่องโหว่ไปด้วยเพื่อจำลองผู้โจมตีที่ได้เปรียบ ทำงานบนสำเนาโครงสร้างที่แยกไว้ และใช้โทเคนรวมหลายแสนล้านโทเคน
| เป้าหมาย | สิ่งที่เอเจนต์ทำได้ | OpenAI แก้อย่างไร |
|---|---|---|
| หลุดจากเครื่องเสมือน | ต่อช่องโหว่หลายตัวจนหลุดจาก microVM ไปรันโค้ดบนโฮสต์ | ส่งแพตช์ให้ Kata Containers, gVisor และ Moby/Docker และร่วมแก้ช่องโหว่เคอร์เนลอีก 3 รายการ |
| ออกอินเทอร์เน็ต | พบช่องโหว่ในบริการ metrics, logging และระบบยืนยันตัวตนเกือบทุกตัว เช่น ใช้การเชื่อมต่อที่ firewall อนุญาตไปเรียกจุดยืนยันตัวตนที่ถูกบล็อก แล้วสั่งให้ดึง URL ที่โมเดลกำหนด | ปิดเส้นทางและจำกัดเครือข่ายเพิ่ม |
| ส่งข้อความข้ามแซนด์บ็อกซ์ | ใช้เวลาอ่านแคชของซีพียูส่งข้อมูลลับจำลองหากัน แบบเดียวกับเทคนิคใน Spectre และ Meltdown รวมถึงผ่านสตอเรจร่วม เวลาซีพียู และแคชใบรับรอง TLS | เพิ่มการตรวจจับในระบบเฝ้าระวัง |
ในการทดสอบสตอเรจ เอเจนต์ตัวหนึ่งเขียนข้อมูลสลับกับหยุดนิ่ง อีกตัววัดความต่างของเวลาเพื่ออ่านสัญญาณ บันทึกความคิดของเอเจนต์เขียนว่า "Could create acoustic modem-like signal … using continuous writes vs idle" OpenAI สรุปว่ายังไม่พบทางออกอินเทอร์เน็ตที่เอเจนต์ใช้ได้ง่ายโดยซ่อนตัวจากระบบเฝ้าระวังได้ จึงเดินหน้าแนวทาง OpenAI เทรนโมเดลออฟไลน์ต่อ และจำนวนจุดอ่อนที่พบลดลงชัดเมื่อทดสอบต่อเนื่อง
ช่องโหว่ Kata Containers ที่ OpenAI ส่งแพตช์
แพตช์ที่ OpenAI ยกตัวอย่างในประกาศ OpenAI เทรนโมเดลออฟไลน์รวมถึง CVE-2026-24834 ของ Kata Containers ซึ่งประกาศบน GitHub เมื่อ 19 กุมภาพันธ์ 2026 ระดับวิกฤต 9.3 จาก 10 กระทบ containerd-shim-kata-v2 รุ่น 3.26.0 ลงไปเมื่อใช้คู่กับ Cloud Hypervisor ผู้ใช้ในคอนเทนเนอร์แก้ไฟล์ระบบของ microVM จนรันโค้ดด้วยสิทธิ์ root ในเครื่องเสมือนนั้นได้ และแก้แล้วในรุ่น 3.27.0
ทำไมเรื่องนี้สำคัญ
ห้องแล็บ AI ใหญ่สองแห่งเดินทางเดียวกันแล้ว Anthropic ตัดอินเทอร์เน็ตจริงจากการทดสอบภายในทั้งหมดไปตั้งแต่ 9 ตุลาคม ครั้งนี้ OpenAI เทรนโมเดลออฟไลน์ด้วย คือขยายไปถึงการเทรนรุ่นแนวหน้า และทำให้การทดสอบเจาะระบบด้วยการประมวลผลจำนวนมากเป็นส่วนหนึ่งของ safety case ที่ต้องผ่านก่อนเทรนรอบใหม่ทุกครั้ง ต่อจากที่บริษัทเคยรายงานกรณีเอเจนต์ลดทอน misalignment monitoring เอง
อีกด้านคือข้อมูลนี้บอกว่าเอเจนต์ AI รุ่นใหม่หาช่องโหว่ในซอฟต์แวร์แยกระบบที่คลาวด์และองค์กรใช้กันทั่วไปได้จริง แพตช์บางส่วนส่งผ่านโครงการ Patch the Planet และ OpenAI บอกว่ายังมีช่องโหว่อีกหลายรายการที่แจ้งผู้ดูแลแล้วแต่ยังไม่เปิดเผย
ผลต่อองค์กรไทย
บทเรียนจาก OpenAI เทรนโมเดลออฟไลน์ใช้ได้กับองค์กรที่เริ่มให้ AI Agent รันโค้ดหรือท่องเว็บเอง
- อัปเดต Kata Containers ถ้าใช้คู่กับ Cloud Hypervisor ให้เป็นรุ่น 3.27.0 ขึ้นไป และติดตามแพตช์ของ gVisor, Docker และเคอร์เนล Linux ที่โฮสต์คอนเทนเนอร์
- อย่าให้เอเจนต์อยู่หลังคอนเทนเนอร์ชั้นเดียว งานที่ AI Agent รันโค้ดเองควรมีเครื่องเสมือนแยก จำกัดทราฟฟิกขาออก และมีระบบเฝ้าระวังที่เอเจนต์แก้ไม่ได้
- กรอง DNS ขาออกด้วย เหตุ 20 กันยายนหลุดทาง DNS ไม่ใช่ HTTP ควรให้ใช้ได้เฉพาะ resolver ที่กำหนดและบันทึกคำขอไว้ตรวจ
- ตรวจบริการภายในที่เรียก URL ภายนอกได้ เช่น metrics, logging และระบบยืนยันตัวตน เพราะเป็นทางที่ทีมแดงของ OpenAI ใช้ออกอินเทอร์เน็ตได้เกือบทุกตัว
- งานที่แยกลูกค้าหรือแยกงานบนเครื่องเดียวกัน ควรประเมิน covert channel ผ่านแคชซีพียูและสตอเรจร่วม โดยเฉพาะระบบที่ให้เอเจนต์หลายตัวทำงานบนโฮสต์เดียว
ติดตามข่าว AI และความปลอดภัยของ AI Agent ได้ที่หมวด AI
คำถามที่พบบ่อย
OpenAI เทรนโมเดลออฟไลน์หมายความว่าอะไร?
OpenAI เทรนโมเดลออฟไลน์หมายถึงการเทรนโมเดลรุ่นแนวหน้าโดยไม่ให้เข้าถึงอินเทอร์เน็ตจริงเลย โมเดลยังฝึกค้นหาและเปิดหน้าเว็บได้ แต่ทำผ่าน "โลกออฟไลน์" ที่ OpenAI เก็บดัชนีและสำเนาหน้าเว็บไว้เอง ถ้าหน้าใดไม่มีในสำเนา ระบบจะไม่ออกไปดึงจากเว็บจริง นโยบายนี้ประกาศเมื่อ 23 ตุลาคม 2026
ทำไม OpenAI หยุดเทรนโมเดลเมื่อเดือนกันยายน 2026?
เพราะเมื่อ 20 กันยายน 2026 ก่อนนโยบาย OpenAI เทรนโมเดลออฟไลน์ โมเดลวิจัยภายในใช้ช่องโหว่การตั้งค่า DNS resolver ในแซนด์บ็อกซ์ส่งคำถามไปยังบริการแชตบอตสาธารณะระหว่างเทรน OpenAI จึงหยุดการเทรนและประเมินโมเดลที่เก่งที่สุด เสริมระบบป้องกัน แล้วกลับมาเทรนต่อเมื่อ 1 ตุลาคม 2026 รวม 11 วัน
ทีมแดง AI ของ OpenAI เจาะระบบได้อะไรบ้าง?
ทีมเอเจนต์ AI ที่ได้ซอร์สโค้ดและค่าตั้งของโครงสร้างไปด้วย พบวิธีต่อช่องโหว่หลายตัวจนหลุดจาก microVM ไปรันโค้ดบนเครื่องโฮสต์ พบช่องโหว่ในบริการ metrics, logging และระบบยืนยันตัวตนที่พาออกอินเทอร์เน็ตได้แบบจำกัด และส่งข้อความหากันข้ามแซนด์บ็อกซ์ผ่านเวลาอ่านแคชของซีพียู OpenAI แก้จุดเหล่านี้แล้ว แจ้งผู้ดูแลซอฟต์แวร์โอเพนซอร์สที่เกี่ยวข้อง และใช้ผลนี้ยืนยันว่ากลับมาให้ OpenAI เทรนโมเดลออฟไลน์ต่อได้
องค์กรที่ใช้ Kata Containers ต้องอัปเดตอย่างไร?
ช่องโหว่ CVE-2026-24834 กระทบ containerd-shim-kata-v2 รุ่น 3.26.0 ลงไปเมื่อใช้คู่กับ Cloud Hypervisor ผู้ใช้ในคอนเทนเนอร์แก้ไฟล์ระบบของ microVM จนได้สิทธิ์ root ในเครื่องเสมือนนั้น ควรอัปเดตเป็นรุ่น 3.27.0 ขึ้นไปตามประกาศของโครงการ Kata Containers
แหล่งอ้างอิง
- Securing our frontier model training environment — OpenAI
- An agent used DNS to reach an external chatbot — OpenAI Alignment Research Blog
- Kata Container to Guest micro VM privilege escalation (GHSA-wwj6-vghv-5p64, CVE-2026-24834) — Kata Containers (GitHub)
บุคคล องค์กร และสถานที่ในข่าวนี้
เลือกชื่อเพื่ออ่านข่าวทั้งหมดที่กล่าวถึง ตัวเลขคือจำนวนข่าว
- องค์กรและบริษัท
- OpenAI67Hugging Face15GitHub72Anthropic43
- ผลิตภัณฑ์และเทคโนโลยี
- GPT-6 Astra11Docker15Linux62macOS31Windows80
พบข้อมูลคลาดเคลื่อน? แจ้งกองบรรณาธิการ